CVE-2024-24116

Nieautoryzowane uzyskanie uprawnień w Ruijie RG-NBS2009G-P via config_menu.htm

CVSS 9.8v3.1pub. 2024-10-02upd. 2025-02-10

Podatność w oprogramowaniu Ruijie RG-NBS2009G-P RGOS umożliwia zdalnemu, nieuwierzytelnionemu atakującemu uzyskanie podwyższonych uprawnień na urządzeniu. Krytyczny poziom CVSS 9.8 wynika z braku wymagań uwierzytelnienia i możliwości pełnej kompromitacji urządzenia.

▸ Pokaż oryginał (EN)

An issue in Ruijie RG-NBS2009G-P RGOS v.10.4(1)P2 Release(9736) allows a remote attacker to gain privileges via the system/config_menu.htm.

🤖 Analiza AI

Jak działa

Atakujący może wysłać żądanie sieciowe do zasobu system/config_menu.htm na podatnym urządzeniu bez konieczności uwierzytelnienia. Podatność związana jest z nieodpowiednią kontrolą uprawnień (CWE-280), co pozwala na dostęp do funkcji administracyjnych bez posiadania stosownych poświadczeń. W wyniku tego możliwe jest przejęcie kontroli nad konfiguracją przełącznika sieciowego.

Skutki

Atakujący może uzyskać pełne uprawnienia administracyjne na urządzeniu, co umożliwia modyfikację konfiguracji, przechwycenie ruchu sieciowego lub wyłączenie urządzenia. Skutkuje to pełną utratą poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniem wyłącznie do zaufanych hostów poprzez segmentację sieci lub listy kontroli dostępu (ACL) oraz wyłączenie dostępu do panelu zarządzania od strony sieci nieufanych.