Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-00551

Опубликовано: 12 янв. 2023
Источник: fstec
CVSS3: 10
CVSS2: 9.7
EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения маршрутизаторов InHand Networks InRouter 302 и InRouter 615 связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды

Вендор

InHand Networks

Наименование ПО

InRouter302
InRouter615

Версия ПО

до 3.5.56 (InRouter302)
до 2.3.0.r5542 (InRouter615)

Тип ПО

ПО сетевого программно-аппаратного средства
Сетевое средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,7)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для InRouter 302:
https://www.inhandnetworks.com/products/inrouter300.html#link4
Для InRouter 615:
https://www.inhandnetworks.com/products/inrouter615-s.html#link4
Компенсирующие меры:
- ограничение возможности подключения к промышленному оборудованию из сетей общего пользования (Интернет);
- сегментирование сети с целью ограничения доступа к промышленному сегменту из других подсетей;
- использование антивирусных программных средств для предотвращения возможности загрузки ненадежных файлов;
- использование виртуальных частных сетей для организации удаленного доступа (VPN);
- применение средств межсетевого экранирования для ограничения возможности удаленного доступа.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 32%
0.00124
Низкий

10 Critical

CVSS3

9.7 Critical

CVSS2

Связанные уязвимости

CVSS3: 10
nvd
около 3 лет назад

InHand Networks InRouter 302, prior to version IR302 V3.5.56, and InRouter 615, prior to version InRouter6XX-S-V2.3.0.r5542, contain vulnerability CWE-284: Improper Access Control. They allow unauthenticated devices to subscribe to MQTT topics on the same network as the device manager. An unauthorized user who knows of an existing topic name could send and receive messages to and from that topic. This includes the ability to send GET/SET configuration commands, reboot commands, and push firmware updates.

CVSS3: 8.1
github
около 3 лет назад

InHand Networks InRouter 302, prior to version IR302 V3.5.56, and InRouter 615, prior to version InRouter6XX-S-V2.3.0.r5542, contain vulnerability CWE-284: Improper Access Control. They allow unauthenticated devices to subscribe to MQTT topics on the same network as the device manager. An unauthorized user who knows of an existing topic name could send and receive messages to and from that topic. This includes the ability to send GET/SET configuration commands, reboot commands, and push firmware updates.

EPSS

Процентиль: 32%
0.00124
Низкий

10 Critical

CVSS3

9.7 Critical

CVSS2