Podatności RUGGEDCOM CROSSBOW

W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań modyfikacji stanu zaplanowanych akcji. Uwierzytelniony atakujący z minimalnymi uprawnieniami może ponowić, zatrzymać lub usunąć zaplanowane zadania bez odpowiedniej autoryzacji.

W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań planowania operacji specjalnych. Uwierzytelniony atakujący z minimalnymi uprawnieniami może zaplanować nieautoryzowane operacje na urządzeniach.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na nieprawidłowym ograniczeniu dostępu do zapytań baz danych używanych do zarządzania podsieciami. Uwierzytelniony atakujący może czytać, modyfikować lub usuwać konfiguracje podsieci, co prowadzi do nieautoryzowanego ujawnienia informacji i manipulacji danymi.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z nieprawidłowego ograniczenia dostępu do różnych zapytań baz danych, co pozwala użytkownikom na pobieranie informacji ogólnosystemowych niezgodnych z ich poziomem uprawnień. Uwierzytelniony atakujący może gromadzić wrażliwe dane o infrastrukturze, w tym o urządzeniach, stacjach, użytkownikach i zaplanowanych działaniach.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku odpowiednich kontroli autoryzacji dla żądań rozłączenia urządzeń. Uwierzytelniony atakujący z minimalnymi uprawnieniami może rozłączyć aktywne sesje innych użytkowników, w tym administratorów, co prowadzi do odmowy usługi.

W produkcie RUGGEDCOM CROSSBOW w wersjach przed V6.0 urządzenia nieprawidłowo walidują lub oczyszczają dane wejściowe w nazwach grup urządzeń lub obiektów przetwarzanych w procesie Bulk Export. Uwierzytelniony atakujący z określonymi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych wejściowych w polach Name i Value dla niestandardowych etykiet plików. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może wykonać dowolne polecenia SQL na bazie danych.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) umożliwia nieautoryzowany dostęp do wrażliwych elementów konfiguracji przez określone zapytania do bazy danych. Uwierzytelniony atakujący może pobrać poświadczenia administracyjne dla różnych systemów wewnętrznych, co prowadzi do nieautoryzowanego ujawnienia informacji i eskalacji uprawnień.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw plików firmware podczas przesyłania. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych w polu Value warunków powiadomień podczas konfiguracji profilu powiadomień. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.

Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw obiektów (facility names) w procesie importu/eksportu masowego. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.

Zidentyfikowano podatność w RUGGEDCOM CROSSBOW (wszystkie wersje < V5.4), która jest podatna na atak typu SQL injection. Atakujący bez uwierzytelnienia może wykonać dowolne zapytania SQL na bazie danych serwera.

Zidentyfikowano podatność w RUGGEDCOM CROSSBOW (wszystkie wersje < V5.4). Aplikacje te akceptują nieautoryzowane wiadomości do zapisu plików.