PT-2021-9865 · Extreme Networks · Hiveos+1

Publicado 2021-11-14 · Atualizado 2021-11-18 · CVE-2020-16152

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Extreme Networks ExtremeWireless Aerohive HiveOS e IQ Engine até a versão 10.0r8a

Descrição

A interface administrativa NetConfig UI permite que invasores executem código PHP como usuário root por meio de solicitações HTTP remotas. Isso é feito inserindo o código PHP em um arquivo de log e, em seguida, acessando esse arquivo.

Recomendações

Para versões até 10.0r8a, considere restringir o acesso à interface administrativa NetConfig UI até que um patch esteja disponível. Como solução temporária, limite a capacidade de inserir código em arquivos de log e restrinja o acesso aos arquivos para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-829

Identificadores relacionados

CVE-2020-16152

Produtos afetados

Hiveos

Iq Engine

Referências · 9

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/unix/webapp/aerohive_netconfig_lfi_log_poison_rce.rb · Exploit
• 🔥 https://github.com/eriknl/CVE-2020-16152 · Exploit
• 🔥 https://github.com/Nate0634034090/nate158g-m-w-n-l-p-d-a-o-e · Exploit
• 🔥 http://packetstormsecurity.com/files/164957/Aerohive-NetConfig-10.0r8a-Local-File-Inclusion-Remote-Code-Execution.html · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-16152 · Nota de Segurança
• https://t.me/cvenotify/23405 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-16152 · Aviso do Fabricante
• https://t.me/cibsecurity/32393 · Publicação no Telegram
• https://gtacknowledge.extremenetworks.com/articles/Vulnerability_Notice/VN-2020-001 · Aviso do Fabricante