PT-2021-23818 · Ericsson · Ericsson Network Location

Akkus + 1 · Publicado 2021-11-03 · Atualizado 2021-11-30 · CVE-2021-43339

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Ericsson Network Location anteriores a 31/07/2021

Descrição

A vulnerabilidade permite que um invasor autenticado injete comandos por meio do parâmetro file name na funcionalidade de exportação. Isso poderia ser usado para criar um novo usuário administrador.

Recomendações

Para versões anteriores a 31/07/2021, considere restringir o acesso à funcionalidade de exportação até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o parâmetro file name na funcionalidade de exportação para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2021-43339

Produtos afetados

Ericsson Network Location

Referências · 8

• 🔥 https://pentest.com.tr/blog/RCE-via-Meow-Variant-along-with-an-Example-0day-PacketHackingVillage-Defcon29.html · Exploit
• 🔥 https://exploit-db.com/exploits/50469 · Exploit
• 🔥 https://exploit-db.com/exploits/50468 · Exploit
• https://t.me/cvenotify/22943 · Publicação no Telegram
• https://t.me/cibsecurity/31787 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-43339 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43339 · Nota de Segurança
• https://t.me/cvenotify/23269 · Publicação no Telegram