CVE-2022-25932

Niekompletne poprawki privilege escalation w InHand Networks InRouter302

CVSS 9.8v3.1pub. 2022-11-09upd. 2024-11-21

Firmware InHand Networks InRouter302 w wersji V3.5.45 wprowadził poprawki dla dwóch podatności (TALOS-2022-1472 i TALOS-2022-1474), jednak okazały się one niekompletne. Atakujący może nadal przeprowadzić privilege escalation oraz ujawnienie informacji, mimo zastosowania patcha.

▸ Pokaż oryginał (EN)

The firmware of InHand Networks InRouter302 V3.5.45 introduces fixes for TALOS-2022-1472 and TALOS-2022-1474. The fixes are incomplete. An attacker can still perform, respectively, a privilege escalation and an information disclosure vulnerability.

🤖 Analiza AI

Jak działa

Producent wydał firmware V3.5.45 jako odpowiedź na wcześniej zgłoszone podatności TALOS-2022-1472 i TALOS-2022-1474. Wprowadzone poprawki nie eliminują jednak w pełni opisanych zagrożeń. W efekcie atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może nadal skorzystać z luk umożliwiających privilege escalation oraz ujawnienie poufnych informacji.

Skutki

Atakujący może uzyskać podwyższone uprawnienia na urządzeniu (privilege escalation) oraz uzyskać dostęp do poufnych informacji (information disclosure). Wysoki wynik CVSS 9.8 wskazuje na możliwość pełnego przejęcia kontroli nad urządzeniem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (InHand-PSA-2022-02 oraz raport Cisco Talos TALOS-2022-1523). Zaleca się sprawdzenie, czy dostępna jest nowsza wersja firmware eliminująca niekompletne poprawki z V3.5.45.

Kogo dotyczy

InHand Networks InRouter302 z oprogramowaniem firmware V3.5.45

Uwagi

Podatność dotyczy niekompletności poprawek wprowadzonych wcześniej dla TALOS-2022-1472 i TALOS-2022-1474. Odkrycie i raportowanie przypisano Cisco Talos (raport TALOS-2022-1523). Pomimo krytycznego wyniku CVSS 9.8, podatność nie figuruje w katalogu CISA KEV.