CVE-2021-32030

Kritik CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 99.4%
CWE: CWE-287
KEV Durumu: Evet

Yayım tarihi: 6 Mayıs 2021 · CISA KEV son iyileştirme tarihi: 23 Haziran 2025

Etkilenen: asus lyra_mini_firmware

ASUS GT-AC2900 cihazlarında 3.0.0.4.386.42643'den önceki sürümler ve Lyra Mini'de 3.0.0.4_384_46630'dan önceki sürümlerde, yönetici uygulaması, kimliği doğrulanmamış bir kullanıcıdan gelen uzaktan girişi işlerken kimlik doğrulama atlamasına izin verir ve bu da yönetici arayüzüne yetkisiz erişim sağlar. Bu, router/httpd/httpd.c'deki handle_request ve web_hook.o'daki auth_check ile ilgilidir. Saldırgan tarafından sağlanan '\0' değeri, bazı durumlarda cihazın varsayılan '\0' değerine eşittir. Not: Tüm Lyra Mini sürümleri ve daha önceki sürümler, yani desteklenmeyen (Son Kullanma Tarihi, EOL) sürümler de bu güvenlik açığından etkilenmektedir. Kullanıcılar, bu güvenlik açığını WAN'dan uzak erişim özelliklerini devre dışı bırakarak hafifletebilirler.

Orijinal açıklama (İngilizce)

The administrator application on ASUS GT-AC2900 devices before 3.0.0.4.386.42643 and Lyra Mini before 3.0.0.4_384_46630 allows authentication bypass when processing remote input from an unauthenticated user, leading to unauthorized access to the administrator interface. This relates to handle_request in router/httpd/httpd.c and auth_check in web_hook.o. An attacker-supplied value of '\0' matches the device's default value of '\0' in some situations. Note: All versions of Lyra Mini and earlier which are unsupported (End-of-Life, EOL) are also affected by this vulnerability, Consumers can mitigate this vulnerability by disabling the remote access features from WAN.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.