CVSS: 7.5EPSS: 0%CPEs: 14EXPL: 2CVE-2019-15912
https://notcve.org/view.php?id=CVE-2019-15912
An issue was discovered on ASUS HG100, MW100, WS-101, TS-101, AS-101, MS-101, DL-101 devices using ZigBee PRO. Attackers can use the ZigBee trust center rejoin procedure to perform mutiple denial of service attacks. Se descubrió un problema en los dispositivos ASUS HG100, MW100, WS-101, TS-101, AS-101, MS-101, DL-101 que usan ZigBee PRO. Los atacantes pueden utilizar el procedimiento de reincorporación del centro de confianza ZigBee para realizar múltiples ataques de denegación de servicio. • https://github.com/chengcheng227/CVE-POC/blob/master/CVE-2019-15912_1.md https://github.com/chengcheng227/CVE-POC/blob/master/CVE-2019-15912_2.md • CWE-20: Improper Input Validation •
CVSS: 9.8EPSS: 0%CPEs: 14EXPL: 1CVE-2019-15911
https://notcve.org/view.php?id=CVE-2019-15911
An issue was discovered on ASUS HG100, MW100, WS-101, TS-101, AS-101, MS-101, DL-101 devices using ZigBee PRO. Because of insecure key transport in ZigBee communication, attackers can obtain sensitive information, cause the multiple denial of service attacks, take over smart home devices, and tamper with messages. Se descubrió un problema en los dispositivos ASUS HG100, MW100, WS-101, TS-101, AS-101, MS-101, DL-101 que usan ZigBee PRO. Debido al transporte inseguro de claves en la comunicación de ZigBee, los atacantes pueden obtener información confidencial, provocar múltiples ataques de denegación de servicio, hacerse cargo de dispositivos domésticos inteligentes y manipular los mensajes. • https://github.com/chengcheng227/CVE-POC/blob/master/CVE-2019-15911.md • CWE-319: Cleartext Transmission of Sensitive Information •
CVSS: 7.5EPSS: 0%CPEs: 14EXPL: 1CVE-2019-15910
https://notcve.org/view.php?id=CVE-2019-15910
An issue was discovered on ASUS HG100, MW100, WS-101, TS-101, AS-101, MS-101, DL-101 devices using ZigBee PRO. Attackers can utilize the "discover ZigBee network procedure" to perform a denial of service attack. Se descubrió un problema en los dispositivos ASUS HG100, MW100, WS-101, TS-101, AS-101, MS-101, DL-101 que usan ZigBee PRO. Los atacantes pueden utilizar el "procedimiento de descubrimiento de red ZigBee" para realizar un ataque de denegación de servicio. • https://github.com/chengcheng227/CVE-POC/blob/master/CVE-2019-15910.md • CWE-20: Improper Input Validation •
CVSS: 7.8EPSS: 0%CPEs: 2EXPL: 0CVE-2019-11060 – HG100 contains an Uncontrolled Resource Consumption vulnerability
https://notcve.org/view.php?id=CVE-2019-11060
The web api server on Port 8080 of ASUS HG100 firmware up to 1.05.12, which is vulnerable to Slowloris HTTP Denial of Service: an attacker can cause a Denial of Service (DoS) by sending headers very slowly to keep HTTP or HTTPS connections and associated resources alive for a long period of time. CVSS 3.0 Base score 7.4 (Availability impacts). CVSS vector: (CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H). El servidor de la API web en el puerto 8080 de ASUS HG100 versión de firmware hasta 1.05.12, que es vulnerable a la denegación de servicio HTTP de Slowloris: un atacante puede causar una denegación de servicio (DoS) mediante el envío de encabezados muy lentamente para mantener las conexiones HTTP o HTTPS y recursos asociados vivos durante un período largo de tiempo. CVSS 3.0 Puntuación Base 7.4 9 (Impactos en la Disponibilidad). • http://surl.twcert.org.tw/aarVJ https://tvn.twcert.org.tw/taiwanvn/TVN-201906002 https://www.exploit-db.com/exploits/46720 • CWE-400: Uncontrolled Resource Consumption CWE-770: Allocation of Resources Without Limits or Throttling •
CVSS: 10.0EPSS: 0%CPEs: 2EXPL: 2CVE-2019-11061 – HG100 has a broken access control vulnerability in its Web API Server
https://notcve.org/view.php?id=CVE-2019-11061
A broken access control vulnerability in HG100 firmware versions up to 4.00.06 allows an attacker in the same local area network to control IoT devices that connect with itself via http://[target]/smarthome/devicecontrol without any authentication. CVSS 3.0 base score 10 (Confidentiality, Integrity and Availability impacts). CVSS vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Una vulnerabilidad de control de acceso interrumpida en las versiones de firmware HG100 hasta 4.00.06 permite que un atacante en la misma red de área local controle dispositivos IoT que se conectan a sí mismos mediante http://[target]/smarthome/devicecontrol without any authentication. CVSS 3.0 Puntuación Base 10 (Impactos de Confidencialidad, Integridad y Disponibilidad). • http://surl.twcert.org.tw/5df6x https://github.com/tim124058/ASUS-SmartHome-Exploit https://tvn.twcert.org.tw/taiwanvn/TVN-201906003 • CWE-306: Missing Authentication for Critical Function •