PT-2024-5193 · Siemens · Ruggedcom Crossbow

Publicado 2024-05-14 · Atualizado 2024-05-14 · CVE-2024-27943

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Versões do RUGGEDCOM CROSSBOW anteriores à V5.5

Descrição:

O problema está relacionado ao controle externo incorreto de um nome de arquivo ou caminho no componente Firmware Upload Handler do sistema RUGGEDCOM CROSSBOW. Isso poderia permitir que um invasor remoto enviasse arquivos arbitrários e executasse código arbitrário. Um usuário com privilégios pode enviar arquivos genéricos para o diretório raiz de instalação, permitindo potencialmente que um invasor altere arquivos específicos ou consiga executar código remotamente.

Recomendações:

Para versões anteriores à V5.5, atualize para a versão V5.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao componente Firmware Upload Handler para minimizar o risco de exploração. Além disso, restrinja o upload de arquivos a usuários autorizados e valide os tipos de arquivo para impedir uploads arbitrários.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-73

CWE-434

Identificadores relacionados

BDU:2024-05750

CVE-2024-27943

Produtos afetados

Ruggedcom Crossbow

Referências · 11

• https://cert-portal.siemens.com/productcert/html/ssa-916916.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-27943 · Nota de Segurança
• https://cve.circl.lu/cve/CVE-2024-27943 · Nota
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-27943 · Nota
• https://vuldb.com/?id.264139 · Nota
• https://vulners.com/cve/CVE-2024-27943 · Nota
• https://osv.dev/vulnerability/CVE-2024-27943 · Aviso do Fabricante
• https://opencve.io/cve/CVE-2024-27943 · Nota
• https://cve.org/CVERecord?id=CVE-2024-27943 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-05750 · Nota de Segurança
• https://its.ny.gov/2024-055 · Nota