PT-2024-12711 · Opennds+1 · Opennds+1

Publicado 2024-01-25 · Atualizado 2024-02-02 · CVE-2023-38323

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do OpenNDS anteriores à 10.1.3

Descrição

Foi detectada uma falha no OpenNDS que impede a sanitização da entrada do script do caminho de status no arquivo de configuração. Isso permite que invasores com acesso direto ou indireto ao arquivo de configuração executem comandos arbitrários do sistema operacional.

Recomendações

Para versões anteriores à 10.1.3, atualize para a versão 10.1.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo de configuração para minimizar o risco de exploração.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2023-38323

Produtos afetados

Debian

Opennds

Referências · 15

• 🔥 https://forescout.com/resources/sierra21-vulnerabilities · Exploit
• https://github.com/openNDS/openNDS/releases/tag/v10.1.3 · Nota
• https://github.com/openNDS/openNDS/blob/master/ChangeLog · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-38323 · Nota de Segurança
• https://source.sierrawireless.com/-/media/support_downloads/security-bulletins/pdf/swi-psa-2023-006-r3.ashx · Nota
• https://ubuntu.com/security/CVE-2023-38323 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2023-38323 · Aviso do Fabricante
• https://t.me/cvenotify/69810 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2023-38323 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2023-38323 · Aviso do Fabricante
• https://t.me/cvenotify/68785 · Publicação no Telegram
• https://openwrt.org/docs/guide-user/services/captive-portal/opennds · Nota
• https://osv.dev/vulnerability/CVE-2023-38323 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2023-38323 · Nota de Segurança
• https://twitter.com/CVEnew/status/1750749097005662703 · Publicação no Twitter