PT-2024-12708 · Opennds+1 · Opennds+1

Publicado 2024-01-25 · Atualizado 2024-02-02 · CVE-2023-38317

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do OpenNDS anteriores à 10.1.3

Descrição

Foi detectada uma falha no OpenNDS que impede a sanitização da entrada do nome da interface de rede no arquivo de configuração. Isso permite que invasores com acesso direto ou indireto ao arquivo de configuração executem comandos arbitrários do sistema operacional.

Recomendações

Para versões anteriores à 10.1.3, atualize para a versão 10.1.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo de configuração para minimizar o risco de exploração.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2023-38317

Produtos afetados

Debian

Opennds

Referências · 16

• 🔥 https://forescout.com/resources/sierra21-vulnerabilities · Exploit
• https://github.com/openNDS/openNDS/releases/tag/v10.1.3 · Nota
• https://github.com/openNDS/openNDS/blob/master/ChangeLog · Nota
• https://twitter.com/CVEnew/status/1750749093977305165 · Publicação no Twitter
• https://t.me/cvenotify/68782 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2023-38317 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2023-38317 · Nota de Segurança
• https://openwrt.org/docs/guide-user/services/captive-portal/opennds · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2023-38317 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-38317 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2023-38317 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2023-38317 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2023-38317 · Aviso do Fabricante
• https://source.sierrawireless.com/-/media/support_downloads/security-bulletins/pdf/swi-psa-2023-006-r3.ashx · Nota
• https://twitter.com/VulmonFeeds/status/1750769483025661996 · Publicação no Twitter