Descripción
Sierra Wireless AirLink ALEOS contiene una vulnerabilidad de carga sin restricciones de archivos de tipo peligroso. Una solicitud HTTP especialmente manipulada puede cargar un archivo, lo que provoca que se cargue código ejecutable en el servidor web y que este sea accesible. Un atacante puede realizar una solicitud HTTP autenticada para desencadenar esta vulnerabilidad. El producto afectado podría haber llegado al fin de vida útil (EoL) y/o al fin de servicio (EoS). Los usuarios deben discontinuar el uso del producto.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Documento de CISA cisa.gov/news-events/ics-advisories/icsa-19-122-03
- Aviso de source.sierrawireless.com source.sierrawireless.com/resources/airlink/software_reference_docs/t…
- Aviso de source.sierrawireless.com source.sierrawireless.com/resources/airlink/hardware_reference_docs/a…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2018-4063
Ver el texto original en inglés (CISA)
Sierra Wireless AirLink ALEOS Unrestricted Upload of File with Dangerous Type Vulnerability
Sierra Wireless AirLink ALEOS contains an unrestricted upload of file with dangerous type vulnerability. A specially crafted HTTP request can upload a file, resulting in executable code being uploaded, and routable, to the webserver. An attacker can make an authenticated HTTP request to trigger this vulnerability. The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.cisa.gov/news-events/ics-advisories/icsa-19-122-03 ; https://source.sierrawireless.com/resources/airlink/software_reference_docs/technical-bulletin/sierra-wireless-technical-bulletin---swi-psa-2019-003 ; https://source.sierrawireless.com/resources/airlink/hardware_reference_docs/airlink_es450_eol ; https://nvd.nist.gov/vuln/detail/CVE-2018-4063