CVE-2023-28461

Array Networks AG and vxAG ArrayOS Missing Authentication for Critical Function Vulnerability

Αξιοποιήθηκε σε επιθέσεις Χρησιμοποιείται από ransomware Κρίσιμη 9,8 Πιθανότητα επίθεσης: 68%

Κοινοποίηση

Τι είναι

Array Networks Array AG Series and vxAG (9.4.0.481 and earlier) allow remote code execution. An attacker can browse the filesystem on the SSL VPN gateway using a flags attribute in an HTTP header without authentication. The product could then be exploited through a vulnerable URL. The 2023-03-09 vendor advisory stated "a new Array AG release with the fix will be available soon."

CISA: Array Networks AG and vxAG ArrayOS contain a missing authentication for critical function vulnerability that allows an attacker to read local files and execute code on the SSL VPN gateway.

Τι να κάνετε

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 16 Δεκεμβρίου 2024

Προστέθηκε στη λίστα της CISA: 25 Νοεμβρίου 2024
Δημοσιεύθηκε: 15 Μαρτίου 2023
Σοβαρότητα: Κρίσιμη 9,8 CVSS 3.1
Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS): 68% στο κορυφαίο 0,7% όλων των γνωστών ευπαθειών
Τύπος αδυναμίας: CWE-306
Περισσότερες λεπτομέρειες: NVD · CVE.org · CISA

Όλες οι πηγές (1)

https://support.arraynetworks.net/prx/001/http/supportportal.arraynetworks.net/documentation/FieldNotice/Arra…

Περισσότερα κενά ασφαλείας της Array Networks που αξιοποιούνται

Προστέθηκε	Ευπάθεια	Προϊόν	Σοβαρότητα	Πιθανότητα επίθεσης
8 Δεκ 2025	Array Networks ArrayOS AG OS Command InjectionCVE-2025-66644	ArrayOS AG	Υψηλή 7,2	3,4%

Όλοι →

Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.