The random-number generator on Cisco Small Business RV routers 4.x and SA500 security appliances 2.2.07 does not have sufficient entropy, wh

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• cisco rv016 multi-wan vpn firmware4.0.0.7
• cisco rv016 multi-wan vpn firmware4.0.2.8
• cisco rv016 multi-wan vpn firmware4.0.5.0
• cisco rv042 dual wan vpn router firmware4.0.2.8
• cisco rv042g dual gigabit wan vpn firmware4.0.0.7
• cisco rv042g dual gigabit wan vpn firmware4.2.2.7
• cisco rv042g dual gigabit wan vpn firmware4.2.2.8
• cisco rv082 dual wan vpn router firmware4.0.0.7
• cisco rv082 dual wan vpn router firmware4.0.2.8
• cisco sa5202.2.07
• cisco sa520w2.2.07
• cisco sa5402.2.07

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.