CVE-2023-42495: Command Injection critica in Dasan Networks W-Web

CVE-2023-42495 descrive una falla di command injection nel software Dasan Networks W-Web, versioni da 1.22 a 1.27. Si tratta di una mancata neutralizzazione di elementi speciali (CWE-78) usati in comandi del sistema operativo. La vulnerabilità consente a un attaccante di eseguire comandi arbitrari con i privilegi del processo che gestisce W-Web, colpendo direttamente gli amministratori di appliance di accesso e gateway Dasan.

Il punteggio CVSS è 9,8, classificato come critical dal National Vulnerability Database. La vulnerabilità è stata resa pubblica il 13 dicembre 2023 e rimane attuale: il 30 ottobre 2026 è emerso un segnale di repository pubblico su GitHub che dichiara di contenere materiale relativo a questa falla. Questo non significa automaticamente che il codice di exploit sia disponibile liberamente, ma indica un rinnovato interesse della comunità di ricerca sulla vulnerabilità.

I team di gestione infrastrutturale devono verificare immediatamente se dispongono di istanze Dasan Networks W-Web nelle versioni 1.22-1.27 negli ambienti di produzione o collaudo. Contattare il vendor per le versioni patched disponibili e pianificare l'aggiornamento secondo le loro linee guida. Nel frattempo, implementare filtri di accesso in rete che limitino l'esposizione dell'appliance ai soli host amministrativi affidabili. Se l'appliance non è essenziale, isolarla della rete fino a patch non disponibili.