CVE-2023-43318

JetStream Smart Switch - TL-SG2210P v5.0/ Controllo di accesso improprio / CVE-2023-43318

[+] Credit: Shahnawaz Shaikh, Ricercatore di sicurezza presso Cybergate Defense LLC

[+] Twitter

Fornitore:

Tp-Link (http://tp-link.com)

Prodotto:

JetStream Smart Switch - TL-SG2210P

Tipo di vulnerabilità:

Controllo di accesso errato (DOS)

Code base del prodotto interessato:

JetStream Smart Switch - TL-SG2210P 5.0 Build 20211201

Componente interessato:

endpoint usermanagement, swtmactablecfg

Problema di sicurezza:

TP-Link JetStream Smart Switch TL-SG2210P 5.0 Build 20211201 consente agli attaccanti di elevare i privilegi modificando i valori 'tid' e 'usrlvl' nelle richieste GET.

Vettori di attacco:

Una violazione riuscita potrebbe garantire controlli amministrativi impropri, compromettendo potenzialmente il sistema. Gli utenti con privilegi inferiori possono accedere agli endpoint di livello amministrativo tramite il proprio ID token.

Riferimento CVE:

CVE-2023-43318

Accesso di rete:

Remoto

Gravità:

Alta

Cronologia della divulgazione:

Notifica al fornitore: 12 settembre 2023 Il fornitore ha rilasciato il firmware corretto TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202: 29 febbraio 2024 1 marzo 2024: Divulgazione pubblica