CVE-2023-43318

JetStream Smart Switch - TL-SG2210P v5.0 / अनुचित अभिगम नियंत्रण / CVE-2023-43318

[+] श्रेय: शहनवाज़ शेख, Cybergate Defense LLC में सुरक्षा शोधकर्ता

[+] ट्विटर

विक्रेता:

Tp-Link (http://tp-link.com)

उत्पाद:

JetStream Smart Switch - TL-SG2210P

भेद्यता प्रकार:

अनुचित अभिगम नियंत्रण (DOS)

प्रभावित उत्पाद कोड बेस:

JetStream Smart Switch - TL-SG2210P 5.0 Build 20211201

प्रभावित घटक:

usermanagement, swtmactablecfg endpoints

सुरक्षा समस्या:

TP-Link JetStream Smart Switch TL-SG2210P 5.0 Build 20211201 हमलावरों को GET अनुरोधों में 'tid' और 'usrlvl' मानों को संशोधित करके विशेषाधिकार बढ़ाने की अनुमति देता है।

हमले के वेक्टर:

एक सफल उल्लंघन अनुचित व्यवस्थापक नियंत्रण प्रदान कर सकता है, जिससे सिस्टम से समझौता हो सकता है। निम्न विशेषाधिकार वाले उपयोगकर्ता अपने स्वयं के टोकन आईडी के माध्यम से व्यवस्थापक स्तर के एंडपॉइंट्स तक पहुंच सकते हैं।

CVE संदर्भ:

CVE-2023-43318

नेटवर्क एक्सेस:

दूरस्थ

गंभीरता:

उच्च

प्रकटीकरण समयरेखा:

विक्रेता सूचना: 12 सितंबर, 2023 विक्रेता ने फिक्स्ड फर्मवेयर TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202 जारी किया: 29 फरवरी, 2024 1 मार्च, 2024: सार्वजनिक प्रकटीकरण