Ubiquiti verhelpt 21 kritieke lekken in UniFi OS en -apps - update

In dit artikel:

Ubiquiti heeft beveiligingsupdates uitgebracht voor 22 kwetsbaarheden in UniFi OS en diverse UniFi-apps. 21 daarvan zijn kritiek, met een CVSS-score tussen 9,0 en 10,0. Het bedrijf adviseert gebruikers dringend om hun systemen zo snel mogelijk bij te werken.

Drie lekken kregen de maximale score van 10,0. In UniFi Protect en UniFi Talk konden onvoldoende gevalideerde invoergegevens leiden tot commando-injectie op het hostapparaat. Een derde kwetsbaarheid maakte het mogelijk om op afstand de authenticatie van UniFi OS-apparaten of -instances te omzeilen. Dat kwam door een fout in de verwerking van CRLF-elementen, waarmee aanvallers instructies konden meesturen.

De problemen zijn opgelost in onder meer UniFi Protect 7.2.105, UniFi Talk 5.3.2 en UniFi OS Server 5.1.37. Voor andere UniFi OS-uitgaven, waaronder die voor Dream Machines en Dream Routers, is versie 5.1.31 beschikbaar. Ubiquiti heeft niet gemeld of de kwetsbaarheden al daadwerkelijk worden uitgebuit. Het bedrijf verduidelijkte bovendien dat versie 5.1.37 alleen voor UniFi OS Server geldt; andere UniFi OS-varianten gebruiken afwijkende versienummers.