CVE-2023-28461

Array Networks AG and vxAG ArrayOS Missing Authentication for Critical Function Vulnerability

Exploitée dans des attaques Utilisée par des rançongiciels Critique 9,8 Risque d'attaque : 68%

De quoi s'agit-il

Array Networks Array AG Series and vxAG (9.4.0.481 and earlier) allow remote code execution. An attacker can browse the filesystem on the SSL VPN gateway using a flags attribute in an HTTP header without authentication. The product could then be exploited through a vulnerable URL. The 2023-03-09 vendor advisory stated "a new Array AG release with the fix will be available soon."

CISA: Array Networks AG and vxAG ArrayOS contain a missing authentication for critical function vulnerability that allows an attacker to read local files and execute code on the SSL VPN gateway.

Que faire

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Échéance pour les agences fédérales américaines : 16 décembre 2024

Ajoutée à la liste de la CISA: 25 novembre 2024
Publiée: 15 mars 2023
Gravité: Critique 9,8 CVSS 3.1
Probabilité d'attaques dans les 30 prochains jours (EPSS): 68% dans les 0,7% les plus à risque de toutes les failles connues
Faiblesse: CWE-306
Plus de détails: NVD · CVE.org · CISA

Toutes les références (1)

https://support.arraynetworks.net/prx/001/http/supportportal.arraynetworks.net/documentation/FieldNotice/Arra…

Autres failles exploitées chez Array Networks

Ajouté	Faille	Produit	Gravité	Risque d'attaque
8 déc. 2025	Array Networks ArrayOS AG OS Command InjectionCVE-2025-66644	ArrayOS AG	Élevé 7,2	3,4%

Toutes →

Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.