Zultys MX-SE/MX-SE II/MX-E/MX-Virtual/MX250/MX30 vor 16.04 Patch 16109/17.0.10 Patch 17161 Service Port 7505 schwache Authentisierung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
8.4$0-$5k0.00

Eine Schwachstelle wurde in Zultys MX-SE, MX-SE II, MX-E, MX-Virtual, MX250 sowie MX30 ausgemacht. Sie wurde als kritisch eingestuft. Hierbei geht es um ein unbekannter Ablauf der Komponente Service Port 7505. Durch Manipulation mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-287. Die exakten Auswirkungen einer erfolgreichen Attacke sind bis dato nicht bekannt. Die Zusammenfassung von CVE lautet:

An authentication bypass in Zultys MX-SE, MX-SE II, MX-E, MX-Virtual, MX250, and MX30 with firmware versions prior to 17.0.10 patch 17161 and 16.04 patch 16109 allows an unauthenticated attacker to obtain an administrative session via a protection mechanism failure in the authentication function. In normal operation, the Zultys MX Administrator Windows client connects to port 7505 and attempts authentication, submitting the administrator username and password to the server. Upon authentication failure, the server sends a login failure message prompting the client to disconnect. However, if the client ignores the failure message instead and attempts to continue, the server does not forcibly close the connection and processes all subsequent requests from the client as if authentication had been successful.

Die Schwachstelle wurde am 08.12.2023 als ATREDIS-2023-0002 herausgegeben. Bereitgestellt wird das Advisory unter github.com. Die Verwundbarkeit wird seit dem 22.09.2023 mit der eindeutigen Identifikation CVE-2023-43742 gehandelt. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.

Ein Aktualisieren auf die Version 16.04 Patch 16109 oder 17.0.10 Patch 17161 vermag dieses Problem zu lösen.

Von weiterem Interesse können die folgenden Einträge sein: VDB-247236 und VDB-247237.

Produktinfo

Hersteller

Name

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔒
VulDB CVSS-BT Score: 🔒
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 8.5
VulDB Meta Temp Score: 8.4

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 9.8
NVD Vector: 🔒

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-287
CAPEC: 🔒
ATT&CK: 🔒

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: MX-SE/MX-SE II/MX-E/MX-Virtual/MX250/MX30 16.04 Patch 16109/17.0.10 Patch 17161

Timelineinfo

22.09.2023 CVE zugewiesen
08.12.2023 +77 Tage Advisory veröffentlicht
08.12.2023 +0 Tage VulDB Eintrag erstellt
31.12.2023 +23 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: ATREDIS-2023-0002
Status: Bestätigt

CVE: CVE-2023-43742 (🔒)
Siehe auch: 🔒

Eintraginfo

Erstellt: 08.12.2023 07:25
Aktualisierung: 31.12.2023 09:21
Anpassungen: 08.12.2023 07:25 (40), 31.12.2023 09:21 (11)
Komplett: 🔍
Cache ID: 3:E13:103

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!