Array Networks AG et vxAG ArrayOS contiennent une vulnérabilité d'absence d'authentification pour une fonction critique qui permet à un attaquant de lire des fichiers locaux et d'exécuter du code sur la passerelle SSL VPN.
Action requise :Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.
Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : 68,1 %, parmi les 0,7 % de CVE les plus susceptibles d’être exploitées
Versions concernées
arrayos ag : versions ≤ 9.4.0.481
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Authentification incorrecte (CWE-287) : Le produit ne prouve pas ou prouve insuffisamment que l'identité revendiquée par un acteur est correcte.
Absence d'authentification pour fonctionnalité critique (CWE-306) : Le produit n'effectue aucune authentification pour une fonctionnalité nécessitant une identité utilisateur prouvable ou consommant une quantité significative de ressources.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Array Networks AG and vxAG ArrayOS Missing Authentication for Critical Function Vulnerability
Array Networks AG and vxAG ArrayOS contain a missing authentication for critical function vulnerability that allows an attacker to read local files and execute code on the SSL VPN gateway.
Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.