Byzoro Smart S150 Management Platform до 20240101 HTTP POST Request userattestation.php web_img эскалация привилегий
| CVSS Meta Temp Score | Текущая цена эксплойта (≈) | Балл интереса CTI |
|---|---|---|
| 7.3 | $0-$5k | 0.00 |
Сводка
Обнаружена уязвимость, классифицированная как критический, в Byzoro Smart S150 Management Platform до 20240101. Затронута неизвестная функция файла /useratte/userattestation.php компонента HTTP POST Request Handler. Манипуляция аргументом web_img приводит к эскалация привилегий. Данная уязвимость известна под идентификатором CVE-2024-0300. Атаку можно инициировать удаленно. Также существует доступный эксплойт.
Подробности
Обнаружена уязвимость, классифицированная как критический, в Byzoro Smart S150 Management Platform до 20240101. Затронута неизвестная функция файла /useratte/userattestation.php компонента HTTP POST Request Handler. Манипуляция аргументом web_img приводит к эскалация привилегий. Использование классификатора CWE для обозначения проблемы ведет к CWE-434. Слабость была опубликована 07.01.2024. Консультацию можно прочитать на сайте github.com.
Данная уязвимость известна под идентификатором CVE-2024-0300. Атаку можно инициировать удаленно. Техническая информация предоставлена. Популярность этой уязвимости ниже среднего. Также существует доступный эксплойт. Эксплойт доступен широкой публике и может быть использован. На данный момент актуальная стоимость эксплойта может быть около USD $0-$5k. Проект MITRE ATT&CK определяет технику атаки как T1608.002.
Присвоено значение Доказательство концепции. Эксплойт можно загрузить по адресу github.com. В статусе 0-day примерная стоимость на черном рынке была около $0-$5k.
Продукт
Поставщик
Имя
Версия
CPE 2.3
CPE 2.2
CVSSv4
VulDB Вектор: 🔍VulDB Надёжность: 🔍
CVSSv3
VulDB Meta Base Score: 7.5VulDB Meta Temp Score: 7.3
VulDB Базовый балл: 6.3
VulDB Временная оценка: 5.7
VulDB Вектор: 🔍
VulDB Надёжность: 🔍
NVD Базовый балл: 9.8
NVD Вектор: 🔍
CNA Базовый балл: 6.3
CNA Вектор (VulDB): 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Вектор | Сложность | Аутентификация | Конфиденциальность | Целостность | Доступность |
|---|---|---|---|---|---|
| Разблокировать | Разблокировать | Разблокировать | Разблокировать | Разблокировать | Разблокировать |
| Разблокировать | Разблокировать | Разблокировать | Разблокировать | Разблокировать | Разблокировать |
| Разблокировать | Разблокировать | Разблокировать | Разблокировать | Разблокировать | Разблокировать |
VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍
NVD Базовый балл: 🔍
Эксплуатация
Класс: эскалация привилегийCWE: CWE-434 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
Физический: Нет
Локальный: Нет
Удалённый: Да
Доступность: 🔍
Доступ: публичный
Статус: Доказательство концепции
Скачать: 🔍
Google Hack: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Прогноз цен: 🔍
Оценка текущей цены: 🔍
| 0-Day | Разблокировать | Разблокировать | Разблокировать | Разблокировать |
|---|---|---|---|---|
| Сегодня | Разблокировать | Разблокировать | Разблокировать | Разблокировать |
Разведка угроз
Интерес: 🔍Активные акторы: 🔍
Активные группы APT: 🔍
Контрмеры
Рекомендация: о смягчении не известноСтатус: 🔍
0-дневное время: 🔍
Хронология
07.01.2024 🔍07.01.2024 🔍
07.01.2024 🔍
09.04.2024 🔍
Источники
Консультация: github.comСтатус: Не определено
CVE: CVE-2024-0300 (🔍)
GCVE (CVE): GCVE-0-2024-0300
GCVE (VulDB): GCVE-100-249866
scip Labs: https://www.scip.ch/en/?labs.20161013
Вход
Создано: 07.01.2024 10:23Обновлено: 09.04.2024 09:07
Изменения: 07.01.2024 10:23 (43), 25.01.2024 09:07 (2), 25.01.2024 09:11 (28), 09.04.2024 09:07 (15)
Завершенный: 🔍
Отправитель: Tomasn
Cache ID: 216::103
Отправить
принято
- Отправить #260962: Beijing Baizhuo Network Technology Co., LTD Smart S150 management platform S150 files upload (по Tomasn)
If you want to get best quality of vulnerability data, you may have to visit VulDB.
Комментариев пока нет. Языки: ru + be + en.
Пожалуйста, войдите в систему, чтобы прокомментировать.