BDU:2023-02687

Опубликовано: 13 янв. 2023

Источник: fstec

CVSS3: 10

CVSS2: 9.7

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения маршрутизаторов InHand Networks InRouter 302 и InRouter 615 связана с использованием недостаточно случайных значений. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью параметра MQTT ClientID

Вендор

InHand Networks

Наименование ПО

InRouter302

InRouter615

Версия ПО

до 3.5.56 (InRouter302)

до 2.3.0.r5542 (InRouter615)

Тип ПО

ПО сетевого программно-аппаратного средства

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,7)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение доступа к устройству из общедоступных сетей (Интернет);

- использование средств межсетевого экранирования для ограничения доступа к устройству;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 36%

0.00153

Низкий

10 Critical

CVSS3

9.7 Critical

CVSS2

Связанные уязвимости

CVE-2023-22601

CVSS3: 10

nvd

около 3 лет назад

InHand Networks InRouter 302, prior to version IR302 V3.5.56, and InRouter 615, prior to version InRouter6XX-S-V2.3.0.r5542, contain vulnerability CWE-330: Use of Insufficiently Random Values. They do not properly randomize MQTT ClientID parameters. An unauthorized user could calculate this parameter and use it to gather additional information about other InHand devices managed on the same cloud platform.

GHSA-8rgq-7c98-wxpm

CVSS3: 8.6

github