CVE-2023-43318

JetStream Smart Switch - TL-SG2210P v5.0/ Contrôle d'accès inapproprié / CVE-2023-43318

[+] Crédits : Shahnawaz Shaikh, Chercheur en sécurité chez Cybergate Defense LLC

[+] Twitter

Fournisseur :

Tp-Link (http://tp-link.com)

Produit :

JetStream Smart Switch - TL-SG2210P

Type de vulnérabilité :

Contrôle d'accès incorrect (DOS)

Base de code du produit affecté :

JetStream Smart Switch - TL-SG2210P 5.0 Build 20211201

Composants affectés :

usermanagement, swtmactablecfg endpoints

Problème de sécurité :

TP-Link JetStream Smart Switch TL-SG2210P 5.0 Build 20211201 permet à des attaquants d'élever leurs privilèges en modifiant les valeurs « tid » et « usrlvl » dans les requêtes GET.

Vecteurs d'attaque :

Une brèche réussie pourrait accorder des droits d'administration inappropriés, compromettant potentiellement le système. Les utilisateurs à privilèges réduits peuvent accéder aux points de terminaison de niveau administrateur via leur propre ID de jeton.

Référence CVE :

CVE-2023-43318

Accès réseau :

Distant

Gravité :

Élevée

Chronologie de la divulgation :

Notification au fournisseur : 12 septembre 2023 Le fournisseur a publié le firmware corrigé TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202 : 29 février 2024 1er mars 2024 : Divulgation publique