Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] PfSense opravuje 1 zranitelnost

PfSense verzí 2.7.1 opravuje zranitelnost v produktu PfSense CE a verzí 23.09 v produktu PfSense Plus [1].

PfSense - RCE (CVE-2024-46538)
CVSS 9.0 (Critical)

Autentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno provést stored XSS útok na administrátorský účet, což může způsobit neoprávněné spouštění příkazů v operačním systému postiženého zařízení [1]. K zranitelnosti bylo zveřejněno PoC [2].

Zranitelnost se nachází v produktech:

  • PfSense CE; ==2.5.2;
  • PfSense Plus;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2024-46538 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 10. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 6. 11. 2024.

CESNET, z.s.p.o. Logo