BDU:2023-02462

Опубликовано: 04 апр. 2023

Источник: fstec

CVSS3: 7.1

CVSS2: 7.5

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения контроллеров Nexx Garage Door Controller (NXG-100B, NXG-200), Nexx Smart Plug (NXPG-100W), Nexx Smart Alarm (NXAL-100) связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить информацию, предназначенную для других устройств

Вендор

Nexx

Наименование ПО

nxal-100

NXPG-100W

NXG-100B

NXG-200

Версия ПО

до nxal100v-p1-9-1 включительно (nxal-100)

до nxpg100cv4-0-0 включительно (NXPG-100W)

до nxg200v-p3-4-1 включительно (NXG-100B)

до nxg200v-p3-4-1 включительно (NXG-200)

Тип ПО

Микропрограммный код

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,1)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- ограничение доступа к устройству из внешних сетей (Интернет);

- использование средств межсетевого экранирования для ограничения доступа к устройству;

- сегментирование сети для ограничения доступа к промышленному сегменту из других подсетей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

https://www.cisa.gov/news-events/ics-advisories/icsa-23-094-01

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 54%

0.00309

Низкий

7.1 High

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2023-1751

CVSS3: 7.5

nvd

почти 3 года назад

The listed versions of Nexx Smart Home devices use a WebSocket server that does not validate if the bearer token in the Authorization header belongs to the device attempting to associate. This could allow any authorized user to receive alarm information and signals meant for other devices which leak a deviceId.

GHSA-8j4q-8455-qxw3

CVSS3: 5.3

github