CVE-2023-43318

JetStream Smart Switch - TL-SG2210P v5.0/ Некорректный контроль доступа / CVE-2023-43318

[+] Автор: Shahnawaz Shaikh, исследователь безопасности в Cybergate Defense LLC

[+] Twitter

Производитель:

Tp-Link (http://tp-link.com)

Продукт:

JetStream Smart Switch - TL-SG2210P

Тип уязвимости:

Некорректный контроль доступа (DOS)

База кода затронутого продукта:

JetStream Smart Switch - TL-SG2210P 5.0 Build 20211201

Затронутый компонент:

usermanagement, swtmactablecfg endpoints

Проблема безопасности:

TP-Link JetStream Smart Switch TL-SG2210P 5.0 Build 20211201 позволяет злоумышленникам повышать привилегии путем изменения значений 'tid' и 'usrlvl' в GET-запросах.

Векторы атаки:

Успешная атака может дать неправомерный административный контроль, потенциально компрометируя систему. Пользователи с низкими привилегиями могут получить доступ к конечным точкам уровня администратора через свой собственный токен ID.

Ссылка CVE:

CVE-2023-43318

Сетевой доступ:

Удаленный

Серьезность:

Высокая

График раскрытия:

Уведомление поставщика: 12 сентября 2023 года Поставщик выпустил исправленную прошивку TL-SG2210P(UN)_V5.20_5.20.1 Build 20240202: 29 февраля 2024 года 1 марта 2024 года: Публичное раскрытие