CVE-2017-14263
I dispositivi Honeywell NVR consentono ad attaccanti remoti di creare un account utente nel gruppo admin sfruttando l'accesso a un account guest per...
- Pubblicato
- 11 set 2017
- Aggiornato
- 5 ago 2024
- Assegnazione CNA
- mitre
- Evidenza osservata
- 5 ago 2026
CVSS primario
nvd · CVSS 2.0
AV:N/AC:M/Au:N/C:C/I:C/A:CBasso · prossimi 30 giorni
- Percentile
- 88,4%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
I dispositivi Honeywell NVR consentono ad attaccanti remoti di creare un account utente nel gruppo admin sfruttando l'accesso a un account guest per ottenere un ID di sessione, e poi inviando tale ID di sessione in una richiesta userManager.addUser all'URI /RPC2. L'attaccante può accedere al dispositivo con quel nuovo account utente per controllare completamente il dispositivo.
Fonti
1- CVE-2017-14263Exploit
Proof-of-concept exploit per CVE-2017-14263 nei dispositivi Honeywell NVR. Dimostra il dirottamento di sessione (session hijacking) e l'escalation dei privilegi da guest ad admin tramite richieste RPC2 manipolate.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.