CVE-2020-8809

उच्चप्रकाशित

प्रकाशित: 25 फ़र॰ 2020
अद्यतन: 4 अग॰ 2024
सीएनए असाइन करना: mitre
साक्ष्य देखे गए: 4 अग॰ 2026

प्राथमिक सीवीएसएस

8.1/ 10उच्च

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

1.0%

कम · अगले 30 दिन

प्रतिशत: 61.8%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

Gurux GXDLMS Director 8.5.1905.1301 से पहले के संस्करण एड-इन्स और OBIS कोड के अपडेट को बिना एन्क्रिप्टेड HTTP कनेक्शन पर डाउनलोड करता है। एक मैन-इन-द-मिडिल हमलावर gurux.fi/obis/files.xml और gurux.fi/updates/updates.xml की सामग्री को संशोधित करके उपयोगकर्ता को अपडेट डाउनलोड करने के लिए प्रेरित कर सकता है। फिर, हमलावर डाउनलोड की गई फाइलों की सामग्री को संशोधित कर सकता है। एड-इन्स के मामले में (यदि उपयोगकर्ता उनका उपयोग कर रहा है), यह कोड निष्पादन की ओर ले जाएगा। OBIS कोड के मामले में (जिसका उपयोग उपयोगकर्ता हमेशा करता है क्योंकि ऊर्जा मीटरों के साथ संचार के लिए उनकी आवश्यकता होती है), यह CVE-2020-8810 के साथ संयुक्त होने पर कोड निष्पादन की ओर ले जा सकता है।

स्रोत

gxdlmsdirector-cvePoC
CVE-2020-8809 और CVE-2020-8810

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।