Múltiples vulnerabilidades en productos de Korenix

Fecha de publicación: 10/04/2023

Importancia:
Alta

Recursos afectados:

Las siguientes versiones de Korenix Jetwave están afectadas:

• Korenix JetWave4221 HP-E, versiones V1.3.0 y anteriores;
• Korenix JetWave 3220/3420 V3, versiones anteriores a V1.7;
• Korenix JetWave 2212G, versión V1.3.T;
• Korenix JetWave 2212X/2112S, versión V1.3.0;
• Korenix JetWave 2211C, versiones anteriores a V1.6;
• Korenix JetWave 2411/2111, versiones anteriores a V1.5;
• Korenix JetWave 2411L/2111L, versiones anteriores a V1.6;
• Korenix JetWave 2414/2114, versiones anteriores a V1.4;
• Korenix JetWave 2424, versiones anteriores a V1.3;
• Korenix JetWave 2460, versiones anteriores a V1.6.

Descripción:

Thomas Weber, de CyberDanube, ha informado de 3 vulnerabilidades: dos de severidad alta y una de severidad media, que podrían permitir a un atacante obtener acceso completo al sistema operativo subyacente del dispositivo o causar una condición de denegación de servicio.

Solución:

Korenix recomienda a todos los usuarios actualizar los productos afectados a las últimas versiones de firmware disponibles. Más información acerca de las versiones correctoras en el apartado Mitigations del siguiente enlace.

Detalle:

• Vulnerabilidad de inyección de comandos. Un atacante podría modificar el parámetro file_name para ejecutar comandos como root. Se ha asignado el identificador CVE-2023-23294 para esta vulnerabilidad.
• Vulnerabilidad de inyección de comandos a través de /goform/formSysCmd. Un atacante podría modificar el parámetro sysCmd para ejecutar comandos como root. Se ha asignado el identificador CVE-2023-23295 para esta vulnerabilidad.
• Posible condición de denegación de servicio a través de /goform/formDefault. A través de una petición POST, un atacante con sesión iniciada podría hacer servicio web deja de estar disponible y no se podrá acceder a él hasta que el usuario reinicie el dispositivo. Se ha asignado el identificador CVE-2023-23296 para esta vulnerabilidad.

Etiquetas:
Actualización, Infraestructuras críticas, Vulnerabilidad