CVE-2023-43318

JetStream Smart Switch - TL-SG2210P v5.0/ Controle de Acesso Improprio / CVE-2023-43318

[+] Creditos: Shahnawaz Shaikh, Pesquisador de Seguranca na Cybergate Defense LLC

[+] Twitter

Fornecedor:

Tp-Link (http://tp-link.com)

Produto:

JetStream Smart Switch - TL-SG2210P

Tipo de Vulnerabilidade:

Controle de Acesso Incorreto (DOS)

Base do Codigo do Produto Afetado:

JetStream Smart Switch - TL-SG2210P 5.0 Build 20211201

Componente Afetado:

endpoints usermanagement, swtmactablecfg

Problema de Seguranca:

O TP-Link JetStream Smart Switch TL-SG2210P 5.0 Build 20211201 permite que invasores aumentem privilegios atraves da modificacao dos valores 'tid' e 'usrlvl' em requisicoes GET.

Vetores de Ataque:

Uma violacao bem-sucedida poderia conceder controles administrativos indevidos, comprometendo potencialmente o sistema. Usuarios com privilegios mais baixos podem acessar endpoints de nivel administrativo atraves de seu proprio ID de token.

Referencia CVE:

CVE-2023-43318

Acesso a Rede:

Remoto

Gravidade:

Alta

Cronograma de Divulgacao:

Notificacao ao Fornecedor: 12 de setembro de 2023 Fornecedor lancou firmware corrigido TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202: 29 de fevereiro de 2024 1 de marco de 2024 : Divulgacao Publica