PT-2024-9577
CVE-2024-46874
·
Publicado
2024-12-03
·
Atualizado
2024-12-10
Descrição por
CVSS 3.1
9.9
CríticaMétricasAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Ruijie Reyee OS, versões 2.206.x até, mas excluindo, 2.320.x
Descrição
O problema está relacionado ao tratamento incorreto de permissões ou privilégios insuficientes no broker MQTT do Ruijie Reyee OS. Isso poderia permitir que invasores com credenciais do dispositivo enviassem comandos não autorizados a outros dispositivos em nome da nuvem da Ruijie, enviando mensagens para alguns tópicos. Invasores com credenciais do dispositivo poderiam emitir comandos para outros dispositivos, representando um sério risco à segurança cibernética.
Recomendações
Para as versões do Ruijie Reyee OS 2.206.x até, mas não incluindo, 2.320.x, considere desativar a funcionalidade do cliente MQTT até que um patch esteja disponível para impedir que invasores enviem comandos não autorizados.
Restrinja o acesso às credenciais do dispositivo para minimizar o risco de exploração.
Evite usar credenciais de dispositivos para enviar mensagens a tópicos confidenciais até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾