CVE-2023-43318

JetStream Smart Switch - TL-SG2210P v5.0/ Unzureichende Zugriffskontrolle / CVE-2023-43318

[+] Credits: Shahnawaz Shaikh, Sicherheitsforscher bei Cybergate Defense LLC

[+] Twitter

Anbieter:

Tp-Link (http://tp-link.com)

Produkt:

JetStream Smart Switch - TL-SG2210P

Schwachstellentyp:

Incorrect Access Control (DOS)

Betroffene Produktcodebasis:

JetStream Smart Switch - TL-SG2210P 5.0 Build 20211201

Betroffene Komponente:

usermanagement, swtmactablecfg endpoints

Sicherheitsproblem:

TP-Link JetStream Smart Switch TL-SG2210P 5.0 Build 20211201 ermöglicht Angreifern, durch Modifikation der Werte 'tid' und 'usrlvl' in GET-Anfragen Privilegien zu eskalieren.

Angriffsvektoren:

Ein erfolgreicher Angriff könnte unzulässige Administratorrechte gewähren und potenziell das System kompromittieren. Benutzer mit niedrigeren Privilegien können über ihre eigene Token-ID auf Admin-Level-Endpunkte zugreifen.

CVE-Referenz:

CVE-2023-43318

Netzwerkzugriff:

Remote

Schweregrad:

Hoch

Offenlegungszeitplan:

Benachrichtigung des Anbieters: 12. September 2023 Anbieter veröffentlichte behobene Firmware TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202: 29. Februar 2024

1. März 2024: Öffentliche Offenlegung