Уязвимость BDU:2024-04298
Идентификатор: BDU:2024-04298.
Наименование уязвимости: Уязвимость панели администратора микропрограммного обеспечения маршрутизаторов GL.iNet, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и загружать произвольные файлы.
Описание уязвимости: Уязвимость панели администратора микропрограммного обеспечения маршрутизаторов GL.iNet связана с использованием ненадёжного пути поиска в процессе экспорта журналов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации и загружать произвольные файлы
Уязвимое ПО: Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-MT6000 4.5.5 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-XE3000 4.4.4 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-X3000 4.4.5 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-MT3000 4.5.0 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-MT2500 4.5.0 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-AXT1800 4.5.0 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-AX1800 4.5.0 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-A1300 4.5.0 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-B1300 4.3.10 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-MT1300 4.3.10 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-MT300N-V2 4.3.10 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-AR750 4.3.10 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-AR750S 4.3.10 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-AR300M 4.3.10 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-S200 4.1.4-0300 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-X750 4.3.7 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-SFT1200 4.3.7 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-XE300 4.3.7 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-AR300M16 4.3.10 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-X300B 3.217 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-S1300 3.216 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-SF1200 3.216 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-MV1000 3.216 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. N300 3.216 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-B2200 3.216 | Сетевое средство, ПО сетевого программно-аппаратного средства GL Tech (HK) Ltd. GL-X1200 3.203 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 26.02.2024.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:N/A:P
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,2)
Возможные меры по устранению:
Использование рекомендаций:
https://www.gl-inet.com/security-updates/security-advisories-vulnerabilities-and-cves-apr-29-2024/
Для GL-MT6000:
https://dl.gl-inet.com/router/mt6000/
Для GL-XE3000:
https://dl.gl-inet.com/router/xe3000/
Для GL-X3000:
https://dl.gl-inet.com/router/x3000/
Для GL-MT3000:
https://dl.gl-inet.com/router/mt3000/
Для GL-MT2500:
https://dl.gl-inet.com/router/mt2500/
Для GL-AXT1800:
https://dl.gl-inet.com/router/axt1800/
Для GL-AX1800:
https://dl.gl-inet.com/router/ax1800/
Для GL-A1300:
https://dl.gl-inet.com/router/a1300/
Для GL-S200:
https://dl.gl-inet.com/iot/s200/
Для GL-X750:
https://dl.gl-inet.com/router/x750/
Для GL-SFT1200:
https://dl.gl-inet.com/router/sft1200/
Для GL-XE300:
https://dl.gl-inet.com/router/xe300/
Для GL-MT1300:
https://dl.gl-inet.com/router/mt1300/
Для GL-AR750:
https://dl.gl-inet.com/router/ar750/
Для GL-AR750S:
https://dl.gl-inet.com/router/ar750s/
Для GL-AR300M:
https://dl.gl-inet.com/router/ar300m/
Для GL-AR300M16:
https://dl.gl-inet.com/router/ar300m16/
Для GL-B1300:
https://dl.gl-inet.com/router/b1300/
Для GL-MT300N-v2:
https://dl.gl-inet.com/router/mt300n-v2/
Для GL-X300B:
https://dl.gl-inet.com/router/x300b/
Для GL-S1300:
https://dl.gl-inet.com/router/s1300/
Для GL-SF1200:
https://dl.gl-inet.com/router/sf1200/
Для GL-MV1000:
https://dl.gl-inet.com/router/mv1000/
Для N300:
https://dl.gl-inet.com/router/n300/
Для GL-B2200:
https://dl.gl-inet.com/router/b2200/
Для GL-X1200:
https://dl.gl-inet.com/router/x1200/.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2024-27356. 51942.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://www.exploit-db.com/exploits/51942
https://github.com/gl-inet/CVE-issues/blob/main/4.0.0/Download_file_vulnerability.md
https://packetstormsecurity.com/files/177886/GL-iNet-MT6000-4.5.5-Arbitrary-File-Download.html
https://www.gl-inet.com/security-updates/security-advisories-vulnerabilities-and-cves-apr-29-2024/
