CVE-2025-11500
Təsvir
tcPDU və LAN Controllers LK3.5, LK3.9 və LK4 kimi Tinycontrol cihazları iki ayrı autentifikasiya mexanizminə malikdir - biri yalnız interfeys idarəetməsi üçün, digəri isə bütün digər server resurslarının qorunması üçündür. Sonuncu söndürüldükdə (hansı ki, bu standart parametridir), yerli şəbəkədəki autentifikasiya olunmamış hücumçu giriş səhifəsinə daxil olduqda serverin HTTP cavabını yoxlayaraq interfeys idarəetmə portalı üçün istifadəçi adlarını və şifrələnmiş şifrələri əldə edə bilər; həmin cavab bu detalları ehtiva edən JSON faylını tərkibində saxlayır. Həm adi, həm də admin istifadəçilərinin etibarlılıq məlumatları açıqlanır. Bu problem aşağıdakı proqram təminatı versiyalarında düzəldilmişdir: 1.36 (tcPDU üçün), 1.67 (LK3.5 üçün - aparat versiyaları: 3.5, 3.6, 3.7 və 3.8), 1.75 (LK3.9 üçün - aparat versiyası 3.9) və 1.38 (LK4 üçün - aparat versiyası 4.0).
Necə düzəltmək olar
- tinycontrol LK3.91.75 və ya daha yeni versiya
- tinycontrol Lan Kontroler v3.51.67 və ya daha yeni versiya
- tinycontrol LK41.38 və ya daha yeni versiya
- tinycontrol tcPDU1.36 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tinycontrol LK3.9 | v < 1.75 | 1.75 |
| tinycontrol Lan Kontroler v3.5 | v < 1.67 | 1.67 |
| tinycontrol LK4 | v < 1.38 | 1.38 |
| tinycontrol tcPDU | v < 1.36 | 1.36 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.