BDU:2017-02110

Опубликовано: 13 июл. 2017

Источник: fstec

CVSS2: 10

EPSS Средний

Описание

Уязвимость в ASUS_Discovery.c встроенного микропрограммного обеспечения Asuswrt-Merlin сетевой карты устройств Asus вызвана переполнением буфера на стеке (неверное обращение к функции strcat при чтении списка устройств). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

ASUSTeK Computer Inc.

Наименование ПО

Asuswrt-Merlin

Версия ПО

до RT-AC5300 _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT_AC1900P _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC68U _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC68P _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC88U _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC66U _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC66U_B1 _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC58U _3.0.0.4.380.7485 включительно (Asuswrt-Merlin)

до RT-AC56U _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC55U _3.0.0.4.380.7378 включительно (Asuswrt-Merlin)

до RT-AC52U _3.0.0.4.380.4180 включительно (Asuswrt-Merlin)

до RT-AC51U _3.0.0.4.380.7378 включительно (Asuswrt-Merlin)

до RT-N18U _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-N66U _3.0.0.4.380.7378 включительно (Asuswrt-Merlin)

до RT-N56U _3.0.0.4.378.7177 включительно (Asuswrt-Merlin)

до RT-AC3200 _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT-AC3100 _3.0.0.4.380.7743 включительно (Asuswrt-Merlin)

до RT_AC1200GU _3.0.0.4.380.5577 включительно (Asuswrt-Merlin)

до RT_AC1200G _3.0.0.4.380.3167 включительно (Asuswrt-Merlin)

до RT-AC1200 _3.0.0.4.380.9880 включительно (Asuswrt-Merlin)

до RT-AC53 _3.0.0.4.380.9883 включительно (Asuswrt-Merlin)

до RT-N12HP _3.0.0.4.380.2943 включительно (Asuswrt-Merlin)

до RT-N12HP_B1 _3.0.0.4.380.3479 включительно (Asuswrt-Merlin)

до RT-N12D1 _3.0.0.4.380.7378 включительно (Asuswrt-Merlin)

до RT-N12+ _3.0.0.4.380.7378 включительно (Asuswrt-Merlin)

до RT_N12+_PRO _3.0.0.4.380.9880 включительно (Asuswrt-Merlin)

до RT-N16 _3.0.0.4.380.7378 включительно (Asuswrt-Merlin)

до RT-N300 _3.0.0.4.380.7378 включительно (Asuswrt-Merlin)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Возможные меры по устранению уязвимости

Принятие ограничительных мер для минимизации риска использования данной уязвимости

Статус уязвимости

Подтверждена в ходе исследований

Наличие эксплойта

Данные уточняются

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

http://www.openwall.com/lists/oss-security/2017/07/13/1

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11420
CVE

EPSS

Процентиль: 94%

0.15224

Средний

10 Critical

CVSS2

Связанные уязвимости

CVE-2017-11420

CVSS3: 9.8

nvd

больше 8 лет назад

Stack-based buffer overflow in ASUS_Discovery.c in networkmap in Asuswrt-Merlin firmware for ASUS devices and ASUS firmware for ASUS RT-AC5300, RT_AC1900P, RT-AC68U, RT-AC68P, RT-AC88U, RT-AC66U, RT-AC66U_B1, RT-AC58U, RT-AC56U, RT-AC55U, RT-AC52U, RT-AC51U, RT-N18U, RT-N66U, RT-N56U, RT-AC3200, RT-AC3100, RT_AC1200GU, RT_AC1200G, RT-AC1200, RT-AC53, RT-N12HP, RT-N12HP_B1, RT-N12D1, RT-N12+, RT_N12+_PRO, RT-N16, and RT-N300 devices allows remote attackers to execute arbitrary code via long device information that is mishandled during a strcat to a device list.

GHSA-2pp8-vrh8-g482