AsiaInfo BSSの脆弱性2件、認証なしで乗っ取り、修正版あり
Summary
AsiaInfoのBusiness Support System 9.2.0〜9.2.40に、ネットワーク越しに認証なしで管理者権限の操作を許す脆弱性が2件公表されました。BSSを運用する通信事業者などは、9.2.41への更新と、管理APIの公開範囲、アカウント履歴の点検を急いでください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
AsiaInfoのBusiness Support System 9.2.0〜9.2.40に、ネットワーク越しに認証なしで管理者権限の操作を許す脆弱性が2件公表されました。BSSを運用する通信事業者などは、9.2.41への更新と、管理APIの公開範囲、アカウント履歴の点検を急いでください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| AsiaInfo InternationalBusiness Support System |
≥ 9.2.0, < 9.2.41→ 9.2.41 |
9.2.41 |
| AsiaInfo Internationalaether-menu |
≥ 2.2.1, < 2.2.7→ 2.2.7 |
2.2.7 |
Original description The description as published by the source.
AsiaInfo Business Support System (BSS) 9.2.0 through 9.2.40 accepts unauthenticated requests via the management API '/bss/sysmgnt/api/'. A remote, unauthenticated attacker could provision a new account with administrative privileges or take over existing accounts, and perform other administrative actions. Fixed in 9.2.41.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web asiainfo.eu
- web github.com
- web cve.org
- web raw.githubusercontent.com