CVE-2023-28461
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 68.1%
- CWE
- CWE-287
- KEV Durumu
- Evet
Yayım tarihi: 15 Mart 2023 · CISA KEV son iyileştirme tarihi: 16 Aralık 2024
Etkilenen: arraynetworks arrayos_ag
Array Networks'in Array AG Serisi ve vxAG (9.4.0.481 ve önceki sürümler) uzaktan kod çalıştırmasına izin verir. Bir saldırgan, kimlik doğrulaması olmadan bir HTTP başlığında flags özelliğini kullanarak SSL VPN ağ geçidinin dosya sistemini gezinebilir. Ürün daha sonra savunmasız bir URL aracılığıyla sömürülebilir. 2023-03-09 tarihli satıcı danışmanlığı "düzeltmeyi içeren yeni bir Array AG sürümünün yakında kullanılabilir olacağını" belirtti.
Orijinal açıklama (İngilizce)
Array Networks Array AG Series and vxAG (9.4.0.481 and earlier) allow remote code execution. An attacker can browse the filesystem on the SSL VPN gateway using a flags attribute in an HTTP header without authentication. The product could then be exploited through a vulnerable URL. The 2023-03-09 vendor advisory stated "a new Array AG release with the fix will be available soon."
Referanslar
- https://support.arraynetworks.net/prx/001/http/supportportal.arraynetworks.net/documentation/FieldNotice/Array_Networks_Security_Advisory_for_Remote_Code_Execution_Vulnerability_AG.pdf
- https://support.arraynetworks.net/prx/001/http/supportportal.arraynetworks.net/documentation/FieldNotice/Array_Networks_Security_Advisory_for_Remote_Code_Execution_Vulnerability_AG.pdf
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-28461
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.