BDU:2024-04298 (CVE-2024-27356) — уязвимость панели администратора микропрограммного обеспечения маршрутизаторов GL.iNet

По данным БДУ ФСТЭК России, по состоянию на 03.06.2024.

Уязвимость панели администратора микропрограммного обеспечения маршрутизаторов GL.iNet связана с использованием ненадёжного пути поиска в процессе экспорта журналов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации и загружать произвольные файлы

Кого касается и что делать

• Уязвимое ПО: GL-MT6000 (GL Tech (HK)) — версии 4.5.5; GL-XE3000 (GL Tech (HK)) — версии 4.4.4; GL-X3000 (GL Tech (HK)) — версии 4.4.5; и ещё 23 позиции
• Что делать: уязвимость устранена производителем — применить исправления: www.gl-inet.com, dl.gl-inet.com, dl.gl-inet.com
• Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Уязвимое ПО

• GL-MT6000 (GL Tech (HK)) — 4.5.5 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-XE3000 (GL Tech (HK)) — 4.4.4 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-X3000 (GL Tech (HK)) — 4.4.5 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-MT3000 (GL Tech (HK)) — 4.5.0 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-MT2500 (GL Tech (HK)) — 4.5.0 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-AXT1800 (GL Tech (HK)) — 4.5.0 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-AX1800 (GL Tech (HK)) — 4.5.0 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-A1300 (GL Tech (HK)) — 4.5.0 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-B1300 (GL Tech (HK)) — 4.3.10 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-MT1300 (GL Tech (HK)) — 4.3.10 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-MT300N-V2 (GL Tech (HK)) — 4.3.10 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-AR750 (GL Tech (HK)) — 4.3.10 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-AR750S (GL Tech (HK)) — 4.3.10 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-AR300M (GL Tech (HK)) — 4.3.10 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-S200 (GL Tech (HK)) — 4.1.4-0300 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-X750 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-SFT1200 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-XE300 (GL Tech (HK)) — 4.3.7 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-AR300M16 (GL Tech (HK)) — 4.3.10 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-X300B (GL Tech (HK)) — 3.217 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-S1300 (GL Tech (HK)) — 3.216 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-SF1200 (GL Tech (HK)) — 3.216 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-MV1000 (GL Tech (HK)) — 3.216 · сетевое средство, ПО сетевого программно-аппаратного средства
• N300 (GL Tech (HK)) — 3.216 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-B2200 (GL Tech (HK)) — 3.216 · сетевое средство, ПО сетевого программно-аппаратного средства
• GL-X1200 (GL Tech (HK)) — 3.203 · сетевое средство, ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций:
www.gl-inet.com/security-updates/security-advisories-vuln…

• Для GL-MT6000: dl.gl-inet.com/router/mt6000/
• Для GL-XE3000: dl.gl-inet.com/router/xe3000/
• Для GL-X3000: dl.gl-inet.com/router/x3000/
• Для GL-MT3000: dl.gl-inet.com/router/mt3000/
• Для GL-MT2500: dl.gl-inet.com/router/mt2500/
• Для GL-AXT1800: dl.gl-inet.com/router/axt1800/
• Для GL-AX1800: dl.gl-inet.com/router/ax1800/
• Для GL-A1300: dl.gl-inet.com/router/a1300/
• Для GL-S200: dl.gl-inet.com/iot/s200/
• Для GL-X750: dl.gl-inet.com/router/x750/
• Для GL-SFT1200: dl.gl-inet.com/router/sft1200/
• Для GL-XE300: dl.gl-inet.com/router/xe300/
• Для GL-MT1300: dl.gl-inet.com/router/mt1300/
• Для GL-AR750: dl.gl-inet.com/router/ar750/
• Для GL-AR750S: dl.gl-inet.com/router/ar750s/
• Для GL-AR300M: dl.gl-inet.com/router/ar300m/
• Для GL-AR300M16: dl.gl-inet.com/router/ar300m16/
• Для GL-B1300: dl.gl-inet.com/router/b1300/
• Для GL-MT300N-v2: dl.gl-inet.com/router/mt300n-v2/
• Для GL-X300B: dl.gl-inet.com/router/x300b/
• Для GL-S1300: dl.gl-inet.com/router/s1300/
• Для GL-SF1200: dl.gl-inet.com/router/sf1200/
• Для GL-MV1000: dl.gl-inet.com/router/mv1000/
• Для N300: dl.gl-inet.com/router/n300/
• Для GL-B2200: dl.gl-inet.com/router/b2200/
• Для GL-X1200: dl.gl-inet.com/router/x1200/

Источники

• www.exploit-db.com/exploits/51942
• github.com/gl-inet/CVE-issues/blob/main/4.0.0/Download_fi…
• packetstormsecurity.com/files/177886/GL-iNet-MT6000-4.5.5…
• www.gl-inet.com/security-updates/security-advisories-vuln…