CVE-2024-44570
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W systemie RELY-PCIe w wersjach od v22.2.1 do v23.1.0 odkryto podatność na wstrzykiwanie kodu przez funkcję getParams w pliku phpinf.php. Atakujący może zdalnie wykonać dowolny kod, co prowadzi do pełnego przejęcia kontroli nad systemem.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu przez nieuwierzytelnionego atakującego, co może skutkować kradzieżą danych, instalacją złośliwego oprogramowania lub całkowitym przejęciem kontroli nad systemem RELY-PCIe.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu RELY-PCIe do wersji nowszej niż v23.1.0, która zawiera poprawkę eliminującą podatność. Należy również przejrzeć konfigurację serwera i ograniczyć dostęp do pliku phpinf.php.
Inne podatności w RELY-PCIe
Zobacz wszystkie- CVE-2024-44577Wysokie
W oprogramowaniu RELY-PCIe w wersjach od v22.2.1 do v23.1.0 odkryto podatność na wstrzykiwanie poleceń. Luka występuje w funkcji time_date.
- CVE-2024-44575Niskie
Podatność w oprogramowaniu RELY-PCIe w wersjach od v22.2.1 do v23.1.0 polega na braku ustawienia atrybutu Secure dla wrażliwych ciasteczek w sesjach HTTPS. W rezultacie przeglądarka może wysyłać te ciasteczka w postaci jawnego tekstu przez niezabezpieczone połączenie HTTP.
- CVE-2024-44574Wysokie
W systemie RELY-PCIe w wersjach od v22.2.1 do v23.1.0 odkryto podatność na wstrzykiwanie poleceń poprzez funkcję sys_conf. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
- CVE-2024-44573Średnie
Podatność na trwałe skryptowanie między witrynami (XSS) w konfiguracji VLAN urządzenia RELY-PCIe w wersjach od v22.2.1 do v23.1.0 umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML za pomocą spreparowanego ładunku.
- CVE-2024-44572Wysokie
W systemie RELY-PCIe w wersjach od v22.2.1 do v23.1.0 odkryto podatność na wstrzykiwanie poleceń w funkcji sys_mgmt. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
- CVE-2024-44571Wysokie
W systemie RELY-PCIe w wersjach od v22.2.1 do v23.1.0 wykryto nieprawidłową kontrolę dostępu w funkcji mService w pliku phpinf.php. Podatność ta może pozwolić nieautoryzowanemu użytkownikowi na wykonanie niepożądanych operacji.
Oryginalny opis (angielski, źródło NVD)
RELY-PCIe v22.2.1 to v23.1.0 was discovered to contain a code injection vulnerability via the getParams function in phpinf.php.