BDU:2024-08564

Опубликовано: 12 окт. 2024

Источник: fstec

CVSS3: 9.3

CVSS2: 9.4

EPSS Высокий

Описание

Уязвимость переменной $pconfig в файле interfaces_groups_edit.php программного межсетевого экрана на базе операционной системы FreeBSD Netgate pfSense связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в браузере пользователя

Вендор

Rubicon Communications, LLC (Netgate)

Наименование ПО

pfSense

pfSense Plus

Версия ПО

до 2.8.0 (pfSense)

до 24.11 (pfSense Plus)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,3)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование систем обнаружения и предотвращения вторжений с целью выявления и реагирования на попытки эксплуатации уязвимости;

Использование рекомендаций:

https://redmine.pfsense.org/issues/15778

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-46538
CVE

EPSS

Процентиль: 99%

0.78183

Высокий

9.3 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2024-46538

CVSS3: 4.8

nvd

больше 1 года назад

A cross-site scripting (XSS) vulnerability in pfsense v2.5.2 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the $pconfig variable at interfaces_groups_edit.php.

GHSA-vv26-cpp3-559h