RTL83xx चिप्सवर Cisco, Zyxel आणि NETGEAR स्विचच्या नियंत्रणास अनुमती देणारी भेद्यता

Cisco Small Business 83, Zyxel GS220-1900, NETGEAR GS24x, ALLNET ALL-SG75M आणि कमी-ज्ञात उत्पादकांच्या डझनहून अधिक उपकरणांसह RTL8208xx चिप्सवर आधारित स्विचेसमध्ये, ओळखले गंभीर भेद्यता ज्यामुळे अनधिकृत आक्रमणकर्त्याला स्विचवर नियंत्रण मिळवता येते. रिअलटेक मॅनेज्ड स्विच कंट्रोलर SDK मधील त्रुटींमुळे समस्या उद्भवतात, ज्या कोडमधून फर्मवेअर तयार करण्यासाठी वापरण्यात आला होता.

प्रथम असुरक्षा (CVE-2019-1913) वेब कंट्रोल इंटरफेसला प्रभावित करते आणि रूट वापरकर्त्याच्या विशेषाधिकारांसह तुमचा कोड कार्यान्वित करणे शक्य करते. असुरक्षा वापरकर्त्याने पुरवलेल्या पॅरामीटर्सचे अपुरे प्रमाणीकरण आणि इनपुट डेटा वाचताना बफर सीमांचे योग्यरित्या मूल्यांकन करण्यात अयशस्वी झाल्यामुळे आहे. परिणामी, आक्रमणकर्ता विशेष तयार केलेली विनंती पाठवून बफर ओव्हरफ्लो होऊ शकतो आणि त्यांचा कोड कार्यान्वित करण्यासाठी समस्येचे शोषण करू शकतो.

दुसरी असुरक्षा (CVE-2019-1912) कॉन्फिगरेशन फाइल्स ओव्हरराइट करणे आणि रिमोट लॉगिनसाठी रिव्हर्स शेल लाँच करणे यासह ऑथेंटिकेशनशिवाय अनियंत्रित फाइल्स स्विचवर लोड करण्याची परवानगी देते. वेब इंटरफेसमधील परवानग्या अपूर्ण तपासल्यामुळे ही समस्या उद्भवली आहे.

आपण कमी धोकादायक उन्मूलन देखील लक्षात घेऊ शकता असुरक्षा (CVE-2019-1914), जे वेब इंटरफेसवर अनप्रिव्हिलेज्ड ऑथेंटिकेटेड लॉगिन असल्यास रूट विशेषाधिकारांसह अनियंत्रित आदेश अंमलात आणण्याची परवानगी देते. Cisco Small Business 220 (1.1.4.4), Zyxel आणि NETGEAR फर्मवेअर अद्यतनांमध्ये समस्यांचे निराकरण केले आहे. ऑपरेटिंग पद्धतींचे तपशीलवार वर्णन नियोजित आहे प्रकाशित करा 20 ऑगस्ट.

RTL83xx चिप्सवर आधारित इतर डिव्हाइसेसमध्ये देखील समस्या दिसून येतात, परंतु त्यांची अद्याप निर्मात्यांद्वारे पुष्टी केलेली नाही आणि त्यांचे निराकरण केले गेले नाही:

• EnGenius EGS2110P, EWS1200-28TFP, EWS1200-28TFP;
• PLANET GS-4210-8P2S, GS-4210-24T2;
• DrayTek VigorSwitch P1100;
• CERIO CS-2424G-24P;
• Xhome DownLoop-G24M;
• Abaniact (INABA) AML2-PS16-17GP L2;
• Araknis Networks (SnapAV) AN-310-SW-16-POE;
• EDIMAX GS-5424PLC, GS-5424PLC;
• ओपन मेष OMS24;
• Pakedgedevice SX-8P;
• TG-NET P3026M-24POE.

स्त्रोत: opennet.ru