PT-2024-13712 · Hongdian · H8951-4G-Esp+1

Robert Pogorzelski · Publicado 2024-01-12 · Atualizado 2024-01-19 · CVE-2023-49255

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Não há menção a nenhum software ou versão específica nas descrições fornecidas.

Descrição

É possível acessar o console do roteador sem autenticação no campo data. Embora seja necessário estar conectado para modificar a configuração, o estado da sessão é compartilhado. Se outro usuário estiver conectado no momento, um usuário anônimo pode executar comandos no contexto do usuário autenticado. Se o usuário conectado tiver privilégios administrativos, é possível usar comandos de configuração do serviço webadmin para criar um novo usuário administrador com uma senha escolhida.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2023-49255

Produtos afetados

H8951-4G-Esp

H8951-4G-Esp Firmware

Referências · 8

• https://twitter.com/VulmonFeeds/status/1745865519742255567 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1745865266611859646 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-49255 · Aviso do Fabricante
• https://cert.pl/en/posts/2024/01/CVE-2023-49253 · Nota
• https://twitter.com/CVEnew/status/1745818706536804750 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-49255 · Nota de Segurança
• https://t.me/cvenotify/67969 · Publicação no Telegram
• https://cert.pl/posts/2024/01/CVE-2023-49253 · Nota