BDU:2025-05698 (CVE-2024-45260) — уязвимость панели управления микропрограммного обеспечения маршрутизаторов GL-A1300 GL-AX1800
По данным БДУ ФСТЭК России, по состоянию на 20.05.2025.
Высокий — 8.0/10 Публичный эксплойт Устранена
Уязвимость панели управления микропрограммного обеспечения маршрутизаторов GL-A1300, GL-AX1800, GL-AXT1800, GL-MT3000, GL-MT2500, GL-MT6000, GL-MT1300, GL-MT300N-V2, GL-AR750S, GL-AR750, GL-AR300M и GL-B1300 связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код и получить полный контроль над устройством путем загрузки специально созданных вредоносных файлов
Кого касается и что делать
- Уязвимое ПО: GL-MT6000 (GL Tech (HK)) — версии 4.6.2; GL-MT3000 (GL Tech (HK)) — версии 4.6.2; GL-MT2500 (GL Tech (HK)) — версии 4.6.2; и ещё 18 позиций
- Что делать: уязвимость устранена производителем — применить исправления: www.gl-inet.com
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2025-05698 · CVE-2024-45260 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.0; CVSS 2.0 — 7.7) |
| Вектор CVSS 3.1 | AV:A/ атака из смежной сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость панели управления микропрограммного обеспечения маршрутизаторов GL-A1300, GL-AX1800, GL-AXT1800, GL-MT3000, GL-MT2500, GL-MT6000, GL-MT1300, GL-MT300N-V2, GL-AR750S, GL-AR750, GL-AR300M и GL-B1300, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации, выполнить произвольный код и получить полный контроль над устройством |
| Даты | Опубликована: 20.05.2025 · Обновлена ФСТЭК: 20.05.2025 · Выявлена: 23.08.2024 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-863 — неправильная авторизация |
| Класс уязвимости | Уязвимость архитектуры · Способ эксплуатации: нарушение авторизации |
Уязвимое ПО
- GL-MT6000 (GL Tech (HK)) — 4.6.2 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT3000 (GL Tech (HK)) — 4.6.2 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT2500 (GL Tech (HK)) — 4.6.2 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AX1800 (GL Tech (HK)) — 4.6.2 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AXT1800 (GL Tech (HK)) — 4.6.2 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-XE300 (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AR750 (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AR750S (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AR300M (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-AR300M16 (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-B3000 (GL Tech (HK)) — 4.5.18 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-A1300 (GL Tech (HK)) — 4.5.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-X300B (GL Tech (HK)) — 4.5.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-X3000 (GL Tech (HK)) — 4.4.9 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-XE3000 (GL Tech (HK)) — 4.4.9 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-X750 (GL Tech (HK)) — 4.3.18 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-SFT1200 (GL Tech (HK)) — 4.3.18 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT1300 (GL Tech (HK)) — 4.3.18 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-E750 (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-B1300 (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
- GL-MT300N-V2 (GL Tech (HK)) — 4.3.17 · сетевое средство, ПО сетевого программно-аппаратного средства
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- www.gl-inet.com/support/firmware-versions/
