СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
О проекте StartUp Hub Контакты Компании Рынки Реклама Политика ПДн
Уязвимости
ФСТЭК России
02.02.2024
#Dev#ИБ#Инфра

BDU:2024-01793 (CVE-2023-50445) — уязвимость функций get_system_log и get_crash_log модуля logread микропрограммного обеспечения маршрутизаторов GL.iNet A1300

По данным БДУ ФСТЭК России, по состоянию на 15.04.2024.

Высокий — 7.8/10 Публичный эксплойт Устранена

Уязвимость функций get_system_log и get_crash_log модуля logread микропрограммного обеспечения маршрутизаторов GL.iNet A1300, AX1800, AXT1800, MT3000, MT2500, MT6000, MT1300, MT300N-V2, AR750S, AR750, AR300M, B1300 существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Кого касается и что делать

  • Уязвимое ПО: GL-A1300 (GL Tech (HK)) — версии 4.4.6; GL-AX1800 (GL Tech (HK)) — версии 4.4.6; GL-AXT1800 (GL Tech (HK)) — версии 4.4.6; и ещё 9 позиций
  • Что делать: уязвимость устранена производителем — применить исправления: dl.gl-inet.com, dl.gl-inet.com, dl.gl-inet.com
  • Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы BDU:2024-01793 · CVE-2023-50445
Уровень опасности Высокий (базовая оценка CVSS 3.1 — 7.8; CVSS 2.0 — 6.8)
Вектор CVSS 3.1 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК Уязвимость функций get_system_log и get_crash_log модуля logread микропрограммного обеспечения маршрутизаторов GL.iNet A1300, AX1800, AXT1800, MT3000, MT2500, MT6000, MT1300, MT300N-V2, AR750S, AR750, AR300M, B1300, позволяющая нарушителю выполнить произвольный код
Даты Опубликована: 06.03.2024 · Обновлена ФСТЭК: 15.04.2024 · Выявлена: 02.02.2024
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-74 — неверная нейтрализация особых элементов в выходных данных, используемых входящим компонентом («инъекция»)
Класс уязвимости Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

  • GL-A1300 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-AX1800 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-AXT1800 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-MT3000 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-MT2500 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-MT6000 (GL Tech (HK)) — 4.5.0 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-MT1300 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-MT300N-V2 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-AR750S (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-AR750 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-AR300M (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
  • GL-B1300 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии: