CVE-2021-28206: fallo de gravedad media en ASUS BMC firmware for ASMB9-iKVM
ASUS BMC's firmware: path traversal - Record video file function
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
La función de grabación de vídeo del firmware ASUS BMC no valida adecuadamente las rutas de archivo, permitiendo que un administrador autenticado acceda a archivos fuera del directorio previsto utilizando técnicas de traversal de directorios.
Vulnerabilidad de traversal de directorios (CWE-22) en la función de grabación de vídeo de la interfaz web de gestión ASUS BMC que carece de validación en parámetros de ruta de archivo. Un atacante autenticado con credenciales administrativas puede explotar esto para leer archivos arbitrarios del sistema manipulando secuencias de traversal.
En el mismo producto, de las más peligrosas a las menos.