The bundle management module lacks authentication and control mechanisms in some APIs.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• huawei emui12.0.1
• huawei harmonyos2.0.1
• huawei harmonyos3.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (huawei). Не зависят от анализа CPE в NVD и обычно опережают его.

• Huawei EMUI

  • 12.0.1затронута

• Huawei HarmonyOS

  • 2.0, 3.0.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-57961Out-of-bounds write vulnerability in the emcom module Impact: Successful exploitation of this vulnerability may cause features to perform ab
  39Наблюдать
• CVE-2024-57959Use-After-Free (UAF) vulnerability in the display module Impact: Successful exploitation of this vulnerability may cause features to perform
  39Наблюдать
• CVE-2024-32991Permission verification vulnerability in the wpa_supplicant module Impact: Successful exploitation of this vulnerability will affect availab
  39Наблюдать
• CVE-2023-52381Script injection vulnerability in the email module.Successful exploitation of this vulnerability may affect service confidentiality, integri
  39Наблюдать
• CVE-2023-52378Vulnerability of incorrect service logic in the WindowManagerServices module.Successful exploitation of this vulnerability may cause feature
  39Наблюдать
• CVE-2023-52370Stack overflow vulnerability in the network acceleration module.Successful exploitation of this vulnerability may cause unauthorized file ac
  39Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Функция, добавленная для разработки или поддержки, попадает в продуктивную среду без аутентификации. Нередко расчёт делается на то, что она «доступна только из внутренней сети».

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1// Добавлено для службы поддержки2app.post("/maintenance/reset", resetDevice);

1if (config.maintenanceEnabled) {2  app.post(3    "/maintenance/reset",4    requireSession, requireRole("admin"), resetDevice5  );6}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.