BDU:2023-03551: Уязвимость функции NTPSyncWithHostof микропрограммного обеспечения роутеров TOTOLINK CP300+, позволяющая нарушителю выполнить произвольные команды

Описание уязвимости Уязвимость функции NTPSyncWithHostof микропрограммного обеспечения роутеров TOTOLINK CP300+ связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды с помощью параметра hostTime
Вендор TOTOLink
Наименование ПО CP300+
Версия ПО V5.2cu.7594_B20200910
Тип ПО Сетевое средство, ПО сетевого программно-аппаратного средства
Операционные системы и аппаратные платформы Данные уточняются
Тип ошибки Непринятие мер по чистке данных на управляющем уровне (Внедрение в команду)
Идентификатор типа ошибки CWE-77
Класс уязвимости Уязвимость кода
Дата выявления 16.05.2023
Базовый вектор уязвимости
  • CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
  • CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Уровень опасности уязвимости Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Компенсирующие меры:
- использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству;
- ограничение доступа к устройству из внешних сетей (Интернет);
- использование средств межсетевого экранирования с целью ограничения доступа к устройству.
Статус уязвимости Потенциальная уязвимость
Наличие эксплойта Существует в открытом доступе
Способ эксплуатации
  • Инъекция
Способ устранения Данные уточняются
Информация об устранении Информация об устранении отсутствует
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются