关键信息 漏洞类型: - OS Command Injection (CWE-78) - Improper Access Control (CWE-284) 受影响的产品及版本: - 产品: SmartNode SN200 Analog Telephone Adapter (ATA) & VoIP Gateway - 制造商: Patton LLC - 受影响版本: <= 3.21.2-23021 风险等级: High 漏洞发现及披露时间线: - 2023-06-28: 漏洞被发现 - 2023-07-05: 漏洞报告给制造商 - 2023-08-28: 公开披露漏洞详情 - 2023-10-13: 确认新发布的更新版 3.22.0-23083 中存在漏洞 CVE 编号: CVE-2023-41109 漏洞细节: - 未经授权的OS命令注入漏洞由于授权机制中的错误和不正确的输入验证被发现。 - 无需认证的攻击者可以通过受影响的产品的Web界面执行系统命令。 概念验证 (Proof of Concept): - 显示了如何在设备上执行"ping"命令的HTTP请求示例。 - 通过空的"AuthToken" cookie可以绕过授权检查。 建议解决方案: - 如果可能，禁用有漏洞的"Network Diagnostic Commands"功能。 - 阻止网络直接或通过防火墙访问设备的HTTP接口。 发现者: - Maurizio Ruchay, SySS GmbH 制造商通知时间: 2023-07-05 公开披露时间: 2023-08-28 CVE引用: CVE-2023-41109 顾问作者: Maurizio Ruchay, SySS GmbH