Múltiples vulnerabilidades en IAP-20 de ORing
- IAP-420: versiones 2.01e y anteriores.
Thomas Weber, de CyberDanube, ha informado de 2 vulnerabilidades de severidad alta que podrían permitir a un atacante invocar comandos para comprometer el dispositivo a través de la interfaz de administración.
ORing está trabajando para solucionar las vulnerabilidades.
Mientras tanto, se recomienda minimizar la exposición de la red, interponer firewalls ante sistemas críticos o utilizar redes privadas virtuales (VPN).
La vulnerabilidad CVE-2024-5410 es de tipo Cross-site Scripting (XSS) almacenado, lo que podría activar un script entre sitios colocando código JavaScript en el campo de entrada SSID de la interfaz web. Un atacante podría aprovechar esta vulnerabilidad para atraer a un usuario autenticado a un sitio web malicioso.
La vulnerabilidad CVE-2024-5411 es de tipo inyección de comandos debido al parámetro del nombre del archivo de configuración y solo se puede explotar si un usuario está autenticado en la interfaz web. De ser explotada, un atacante podría invocar comandos y obtener control total sobre el dispositivo.
