CVE-2025-52548
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Oprogramowanie E3 Site Supervisor Control (wersje firmware przed 2.31F01) zawiera ukryte wywołanie API w usługach aplikacji, które umożliwia włączenie SSH i Shellinabox, domyślnie wyłączonych. Atakujący z dostępem administracyjnym do usług aplikacji może wykorzystać to API do zdalnego dostępu do systemu operacyjnego.
Ocena ryzyka
Ryzyko nieautoryzowanego zdalnego dostępu do systemu operacyjnego urządzenia, co może prowadzić do pełnej kompromitacji.
Rekomendacja
Zaktualizuj firmware do wersji 2.31F01 lub nowszej. Ogranicz dostęp administracyjny do usług aplikacji.
Inne podatności w E3 Site Supervisor Control
Zobacz wszystkie- CVE-2025-52547Wysokie
Oprogramowanie E3 Site Supervisor Control w wersji firmware < 2.31F01 zawiera wywołanie API bez walidacji danych wejściowych. Atakujący może wykorzystać ten mechanizm do ciągłego powodowania awarii usług aplikacji.
- CVE-2025-52546Średnie
E3 Site Supervisor Control (wersja firmware < 2.31F01) posiada funkcję planu pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików planu pięter. Poprzez przesłanie specjalnie spreparowanego pliku atakujący może wstrzyknąć trwały XSS do strony internetowej planu pięter.
- CVE-2025-52545Wysokie
Usługa RCI w E3 Site Supervisor Control (firmware < 2.31F01) zawiera wywołanie API do odczytu informacji o użytkownikach, które zwraca wszystkie nazwy użytkowników oraz hashe haseł dla usług aplikacji.
- CVE-2025-52544Wysokie
E3 Site Supervisor Control (firmware < 2.31F01) posiada funkcję planów pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików. Poprzez specjalnie spreparowany plik atakujący może uzyskać dostęp do dowolnego pliku w systemie E3.
- CVE-2025-52543Wysokie
E3 Site Supervisor Control (firmware < 2.31F01) w usługach aplikacyjnych (MGW i RCI) używa hashowania po stronie klienta do uwierzytelniania. Atakujący może uwierzytelnić się, znając jedynie hash hasła.
Oryginalny opis (angielski, źródło NVD)
E3 Site Supervisor Control (firmware version < 2.31F01) contains a hidden API call in the application services that enables SSH and Shellinabox, which exist but are disabled by default. An attacker with admin access to the application services can utilize this API to enable remote access to the underlying OS.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS