NVD / CVE Programı· CNA talos

CVE-2018-4063: An exploitable remote code execution vulnerability exists in the upload.cgi functionality of Sierra Wireless AirLink ES450 FW 4.9.3.

YüksekCVSS 8.8 · v3.1KEVSilahlaştırılmış Düzeltme kaydı yok

Noroxi değerlendirmesi

Öncelik: Bu hafta (aksiyon skoru 73/100)

CISA bu açığın sahada sömürüldüğünü doğruladı (12 Ara 2025). ABD kamu kurumları için kapatma son tarihi 2 Oca 2026.
Önümüzdeki 30 günde sömürülme olasılığı %27,2 (FIRST EPSS); kayıtların %98 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Düşük yetkili bir hesap yeterli. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
Kayda göre henüz düzeltme sürümü yok.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 1 kez anıldı.

Bir sonraki bakım penceresini beklemeyin. Düzeltme yayımlanana kadar etkilenen bileşene erişimi kısıtlayın ve üreticinin duyurusunu izleyin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS

An exploitable remote code execution vulnerability exists in the upload.cgi functionality of Sierra Wireless AirLink ES450 FW 4.9.3. A specially crafted HTTP request can upload a file, resulting in executable code being uploaded, and routable, to the webserver. An attacker can make an authenticated HTTP request to trigger this vulnerability.

Yayın: 6 May 2019
Güncelleme: 16 Haz 2026
EPSS: %27,2 · 98. yüzdelik
CWE: CWE-434

Rapor araçları

JSON

Aksiyon skoru

Bu hafta

Bir sonraki bakım penceresini beklemeyin.

CVSS: 35 / 40 · 8.8 / 10
CISA KEV: 30 / 30 · Listede
EPSS: 8 / 30 · %27,2

CISA SSVC kararı

Sömürü: aktif
Otomatikleştirilebilir: hayır
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

Sahada aktif sömürülüyor

CISA bu zafiyeti 12 Ara 2025 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.

ABD federal kurumları için son yama tarihi: 2 Oca 2026.

Bu kayıt değişirse haber alın

CISA KEV'de: sahada sömürüldüğü doğrulandı
Silahlaştırılmış istismar var
Düzeltme sürümü henüz yok

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
sierrawireless	aleos	cpe:2.3:o:sierrawireless:aleos
sierrawireless	airlink es440	cpe:2.3:h:sierrawireless:airlink_es440
sierrawireless	airlink gx400	cpe:2.3:h:sierrawireless:airlink_gx400
sierrawireless	airlink gx440	cpe:2.3:h:sierrawireless:airlink_gx440
sierrawireless	airlink ls300	cpe:2.3:h:sierrawireless:airlink_ls300
sierrawireless	airlink lx40	cpe:2.3:h:sierrawireless:airlink_lx40
sierrawireless	airlink lx60	cpe:2.3:h:sierrawireless:airlink_lx60
sierrawireless	airlink mp70	cpe:2.3:h:sierrawireless:airlink_mp70
sierrawireless	airlink mp70e	cpe:2.3:h:sierrawireless:airlink_mp70e
sierrawireless	airlink rv50	cpe:2.3:h:sierrawireless:airlink_rv50
sierrawireless	airlink rv50x	cpe:2.3:h:sierrawireless:airlink_rv50x
sierrawireless	airlink es450	cpe:2.3:h:sierrawireless:airlink_es450

ve 1 kayıt daha

Üreticinin bildirdiği sürümler

Kaydı açan otorite (talos) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

n/a Sierra Wireless
- Sierra Wireless AirLink ES450 FW 4.9.3etkilenir

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

sierrawireless aleos4.4.9 öncesi
sierrawireless aleos4.11.0 öncesi
sierrawireless aleos4.9.4 öncesi

Aynı üründe

sierrawireless: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2015-2897Sierra Wireless ALEOS before 4.4.2 on AirLink ES, GX, and LS devices has hardcoded root accounts, which makes it easier for remote…
41Planlayın
CVE-2019-11851The ACENet service in Sierra Wireless ALEOS before 4.4.9, 4.5.x through 4.9.x before 4.9.5, and 4.10.x through 4.13.x before 4.14.0 allows…
40Planlayın
CVE-2020-8782ALEOS LAN-Side RPC Service Remote Code Execution
40Planlayın

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2015-647921 Nis 2016 · ACEmanager in Sierra Wireless ALEOS 4.4.2 and earlier on ES440, ES450, GX400, GX440, GX450, and LS300 devices allows remote attackers to…
17İzleyin
← ÖncekiCVE-2018-102514 May 2018 · A vulnerability in Sierra Wireless AirLink GX400, GX440, ES440, and LS300 routers with firmware before 4.4.7 and GX450, ES450, RV50, RV50X…
40Planlayın
Sonraki →CVE-2019-1184721 Ağu 2020 · ALEOS User Root Shell Escalation
31İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.

İstismar durumu

Silahlaştırılmış

Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.