Podatność CVE-2008-1247

Podatność CVE-2008-1247

Publikacja: 2008-03-10 Modyfikacja: 2012-02-12

Opis:

The web interface on the Linksys WRT54g router with firmware 1.00.9 does not require credentials when invoking scripts, which allows remote attackers to perform arbitrary administrative actions via a direct request to (1) Advanced.tri, (2) AdvRoute.tri, (3) Basic.tri, (4) ctlog.tri, (5) ddns.tri, (6) dmz.tri, (7) factdefa.tri, (8) filter.tri, (9) fw.tri, (10) manage.tri, (11) ping.tri, (12) PortRange.tri, (13) ptrigger.tri, (14) qos.tri, (15) rstatus.tri, (16) tracert.tri, (17) vpn.tri, (18) WanMac.tri, (19) WBasic.tri, or (20) WFilter.tri. NOTE: the Security.tri vector is already covered by CVE-2006-5202.

Typ:

CWE-264

(Permissions, Privileges, and Access Controls)

CVSS2 => (AV:N/AC:L/Au:N/C:C/I:C/A:C)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
10/10	10/10	10/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Niska	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Pełny	Pełny	Pełny

Affected software
Linksys -> Wrt54g

Referencje:

http://kinqpinz.info/lib/wrt54g/own.txt

http://www.gnucitizen.org/projects/router-hacking-challenge/

http://www.securityfocus.com/archive/1/489009/100/0/threaded

http://www.securityfocus.com/bid/28381

https://exchange.xforce.ibmcloud.com/vulnerabilities/41118

https://kinqpinz.info/lib/wrt54g/

https://kinqpinz.info/lib/wrt54g/own2.txt

https://www.exploit-db.com/exploits/5313

https://www.exploit-db.com/exploits/5926

Copyright 2024, cxsecurity.com