BDU:2024-02141 (CVE-2023-46453) — уязвимость микропрограммного обеспечения маршрутизаторов GL.iNet GL-A1300 GL-AX1800
По данным БДУ ФСТЭК России, по состоянию на 15.04.2024.
Высокий — 7.3/10 Публичный эксплойт Устранена
Уязвимость микропрограммного обеспечения маршрутизаторов GL.iNet GL-A1300, GL-AX1800, GL-AXT1800, GL-MT3000, GL-MT2500, GL-MT6000, GL-MT1300, GL-MT300N-V2, GL-AR750S, GL-AR750, GL-AR300M, GL-B1300 связана с обходом аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к веб-интерфейсу маршрутизатора
Кого касается и что делать
- Уязвимое ПО: GL-A1300 (GL Tech (HK)) — версии 4.4.6; GL-AX1800 (GL Tech (HK)) — версии 4.4.6; GL-AXT1800 (GL Tech (HK)) — версии 4.4.6; и ещё 8 позиций
- Что делать: уязвимость устранена производителем — применить исправления: dl.gl-inet.com, dl.gl-inet.com, dl.gl-inet.com
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2024-02141 · CVE-2023-46453 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.3; CVSS 2.0 — 7.5) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость микропрограммного обеспечения маршрутизаторов GL.iNet GL-A1300, GL-AX1800, GL-AXT1800, GL-MT3000, GL-MT2500, GL-MT6000, GL-MT1300, GL-MT300N-V2, GL-AR750S, GL-AR750, GL-AR300M, GL-B1300, связанная с обходом аутентификации, позволяющая нарушителю получить несанкционированный доступ к веб-интерфейсу маршрутизатора |
| Даты | Опубликована: 20.03.2024 · Обновлена ФСТЭК: 15.04.2024 · Выявлена: 23.01.2024 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-592 — проблемы обхода аутентификации |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: нарушение аутентификации |
Уязвимое ПО
- GL-A1300 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AX1800 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AXT1800 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT3000 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT2500 (GL Tech (HK)) — 4.4.6 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT6000 (GL Tech (HK)) — 4.5.0 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT1300 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT300N-V2 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AR750S (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AR300M (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-B1300 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для GL-B1300: dl.gl-inet.com/router/b1300/
- Для GL-MT300N-V2: dl.gl-inet.com/router/mt300n-v2/
- Для GL-A1300: dl.gl-inet.com/router/a1300/
- Для GL-AX1800: dl.gl-inet.com/router/ax1800/
- Для GL-AXT1800: dl.gl-inet.com/router/axt1800/
- Для GL-MT3000: dl.gl-inet.com/router/mt3000/
- Для GL-MT2500: dl.gl-inet.com/router/mt2500/
- Для GL-MT6000: dl.gl-inet.com/router/mt6000/
- Для GL-MT1300: dl.gl-inet.com/router/mt1300/
- Для GL-AR750S: dl.gl-inet.com/router/ar750s/
- Для GL-AR300M: dl.gl-inet.com/router/ar300m/
