Argitalpen data: 2018/08/20
Garrantzia: Handia
Kaltetutako baliabideak:
- ESP-200 routerra, 1.2.0 bertsioa
Azalpena:
Kaspersky Lab ICS-CERTeko
Alexander Nochvay eta Andrey Muravitsky-k hainbat eratako ahultasun batzuen
berri eman dute: komandoen injekzioa, konfigurazio ez-seguruak, pasahitz
lehenetsiak eta informazioaren hedapena. Ahultasun horiek arrakastaz baliatuz
gero erasotzaile batek hainbat ekintza egin litzake: pribilegioen eskalatzea,
kode arbitrarioa exekutatzea, erasoaren azalera zabaltzea edo informazioa
hedatzea.
Konponbidea:
- Firmwarearen 1.3.0 bertsiora eguneratzea gomendatzen da.
Xehetasuna:
- Lehenetsitako pasahitzak erabiliz, autentifikaziorik gabeko erasotzaile batek administratzaile saioa has lezake gailuan. Ahultasun horretarako CVE-2018-15360 identifikatzailea erabili da.
- Pribilegio baxuekin autentifikatutako erasotzaile batek sudoren konfigurazio ez-seguru bat balia lezake erasoaren azalera zabaltzeko. Ahultasun horretarako CVE-2018-15359 identifikatzailea erabili da.
- Pribilegio baxuekin autentifikatutako erasotzaile batek pribilegio altuko erabiltzaile bat aktiba lezake eta erasoaren azalera handitzeko erabili. Ahultasun horretarako CVE-2018-15358 identifikatzailea erabili da.
- Pribilegio baxuekin autentifikatutako erasotzaile batek informazioa eskura lezake erabiltzaile bakoitzaren pasahitza dagoen hashetik. Ahultasun horretarako CVE-2018-15357 identifikatzailea erabili da.
- Autentifikatutako erasotzaile batek kode arbitrarioa exekuta lezake komandoen injekzioaren bidez. Ahultasun horretarako CVE-2018-15356 identifikatzailea erabili da.
Etiketak: Eguneraketa, Ahultasuna