CVE-2025-50989
Təsvir
25.1.8 versiyasından əvvəlki OPNsense Bridge Interface Edit son nöqtəsində (interfaces_bridge_edit.php) autentifikasiya olunmuş komanda inyeksiyası zəifliyi mövcuddur. span POST parametri lazımi təmizləmə və ya xüsusi simvolların ekranlaşdırılması olmadan sistem səviyyəli komandaya birləşdirilir ki, bu da administratora ixtiyari shell operatorlarını və payload-ları daxil etməyə imkan verir. Uğurlu istismar, veb xidmətin imtiyazları ilə (adətən root) uzaqdan kodun icrasına səbəb olur ki, bu da potensial olaraq bütün sistemin ələ keçirilməsinə və ya şəbəkədə lateral hərəkətə gətirib çıxara bilər. Bu zəiflik, giriş məlumatlarının yetərsiz şəkildə yoxlanılmasından və backend komanda çağırışlarında istifadəçi tərəfindən təqdim edilən məlumatların yanlış idarə olunmasından qaynaqlanır.
Necə düzəltmək olar
- opnsense opnsense25.1.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| opnsense opnsense | v < 25.1.8 | 25.1.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.