Vulnerabilidad en el procesamiento de paquetes SYN Flood o FIN Flood en Embedded Web Servers de eCos (CVE-2017-1000020)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-287
Autenticación incorrecta
Fecha de publicación:
17/07/2017
Última modificación:
20/04/2025
Descripción
El ataque de tipo SYN Flood o FIN Flood en ECos versión 1 y en otras versiones de dispositivos incorporados da como resultado un bypass de autenticación web. "Embedded Web Servers de eCos utilizados por múltiples enrutadores y dispositivos domésticos, mientras envían los paquetes SYN Flood o FIN Flood fallan en la comprobación y el manejo de los paquetes, y no solicitan ninguna firma de autenticación que resulta en la Omisión de Autentificación. Un atacante tomar ventaja de este bug y tomar el control del dispositivo de manera remota o local. El bug se ha probado y reproducido con éxito en algunas versiones de Enrutadores SOHO fabricados por TOTOLINK, GREATEK y otros ".
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
10.00
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:o:ecos:embedded_web_servers:*:*:*:*:*:*:*:* | 1.3.1 (incluyendo) | |
| cpe:2.3:h:greatek:soho:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:totolink:soho:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página