CVE-2019-11857

Brak sanityzacji danych wejściowych w AceManager — Sierra Wireless ALEOS

CVSS 9.1v3.1pub. 2020-08-21upd. 2024-11-21

Podatność w komponencie AceManager systemu ALEOS (Sierra Wireless) polega na braku walidacji danych wejściowych, co umożliwia ujawnienie wrażliwych informacji systemowych. Wysoki wynik CVSS (9.1) wynika z możliwości uzyskania dostępu do poufnych danych systemowych przez sieć bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Lack of input sanitization in AceManager of ALEOS before 4.12.0, 4.9.5 and 4.4.9 allows disclosure of sensitive system information.

🤖 Analiza AI

Jak działa

Komponent AceManager w oprogramowaniu ALEOS nie przeprowadza prawidłowej sanityzacji danych wejściowych dostarczanych przez użytkownika. Atakujący posiadający uprawnienia administracyjne może spreparować odpowiednie żądania, które spowodują ujawnienie wrażliwych informacji systemowych. Podatność jest sklasyfikowana jako CWE-20 (Improper Input Validation), co oznacza brak wystarczającej kontroli nad danymi wejściowymi przed ich przetworzeniem.

Skutki

Atakujący może uzyskać dostęp do wrażliwych informacji systemowych urządzenia, co może prowadzić do dalszego naruszenia bezpieczeństwa infrastruktury sieciowej opartej na produktach Sierra Wireless.

Mitygacja

Należy zaktualizować oprogramowanie ALEOS do wersji 4.12.0, 4.9.5 lub 4.4.9 (w zależności od używanej gałęzi) zgodnie z zaleceniami producenta opublikowanymi w biuletynie SWI-PSA-2020-004 dostępnym na stronie Sierra Wireless.

Kogo dotyczy

Sierra Wireless ALEOS w wersjach wcześniejszych niż 4.12.0, 4.9.5 oraz 4.4.9, stosowanych na urządzeniach: Airlink LX40, Airlink LX60, Airlink MP70, Airlink MP70E.