CVE-2024-30868

SQL Injection w Netentsec NS-ASG 6.3 via /admin/add_getlogin.php

CVSS 9.8v3.1pub. 2024-04-01upd. 2025-04-04

Netentsec NS-ASG w wersji 6.3 zawiera podatność SQL Injection w panelu administracyjnym, umożliwiającą nieuwierzytelnionemu atakującemu manipulację bazą danych. Ze względu na brak wymagań co do uwierzytelnienia oraz sieciowy wektor ataku, podatność jest szczególnie niebezpieczna.

▸ Pokaż oryginał (EN)

netentsec NS-ASG 6.3 is vulnerable to SQL Injection via /admin/add_getlogin.php.

🤖 Analiza AI

Jak działa

Podatność typu SQL Injection (CWE-94) występuje w skrypcie /admin/add_getlogin.php. Atakujący może przesłać spreparowane żądanie HTTP zawierające złośliwy kod SQL, który jest wykonywany bezpośrednio przez silnik bazy danych bez odpowiedniej walidacji lub parametryzacji danych wejściowych. Nie są wymagane żadne uprawnienia ani interakcja użytkownika, co oznacza, że atak może być przeprowadzony zdalnie przez dowolną osobę mającą dostęp sieciowy do urządzenia.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie, zmodyfikować lub usunąć dane, a w sprzyjających warunkach przejąć pełną kontrolę nad systemem — skutkując naruszeniem poufności, integralności oraz dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do panelu administracyjnego wyłącznie do zaufanych adresów IP oraz umieszczenie interfejsu administracyjnego za firewallem lub w izolowanej sieci zarządzania.

Kogo dotyczy

Netentsec NS-ASG w wersji 6.3 (firmware oraz oprogramowanie urządzenia)

Uwagi

Szczegółowy opis techniczny podatności dostępny jest w repozytorium GitHub użytkownika hundanchen69, co wskazuje na publiczną dostępność informacji o podatności.