CVE-2013-4982

AVTECH AVN801 DVR — pominięcie uwierzytelniania przez captcha panelu admina

CVSS 9.8v3.1pub. 2019-12-27upd. 2024-11-21

Urządzenie AVTECH AVN801 DVR zawiera podatność umożliwiającą ominięcie mechanizmu captcha w panelu logowania administratora. Błąd sklasyfikowany jako CWE-287 (nieprawidłowe uwierzytelnianie) otrzymał ocenę CVSS 9.8, co czyni go podatnością krytyczną.

▸ Pokaż oryginał (EN)

AVTECH AVN801 DVR has a security bypass via the administration login captcha

🤖 Analiza AI

Jak działa

Mechanizm captcha stosowany podczas logowania do panelu administracyjnego urządzenia DVR może zostać pominięty przez atakującego bez konieczności jego rozwiązania. Błąd wynika z nieprawidłowej implementacji weryfikacji uwierzytelniania (CWE-287), co pozwala na uzyskanie dostępu do panelu bez posiadania prawidłowych poświadczeń potwierdzonych przez captcha. Atak może być przeprowadzony zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do panelu administracyjnego urządzenia DVR, co potencjalnie umożliwia przejęcie pełnej kontroli nad urządzeniem, dostęp do nagrań wideo oraz modyfikację jego konfiguracji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do panelu administracyjnego urządzenia (np. przez firewall lub segmentację sieci) oraz umieszczenie urządzenia poza bezpośrednim dostępem z Internetu.

Kogo dotyczy

AVTECH AVN801 DVR (firmware urządzenia AVTECH AVN801 DVR) — konkretne wersje firmware wskazane w referencjach producenta oraz w opublikowanym advisory Core Security

Uwagi

Podatność została pierwotnie ujawniona publicznie w sierpniu 2013 roku (seclists.org/fulldisclosure/2013/Aug/284), natomiast rekord CVE opublikowano dopiero 27 grudnia 2019 roku. Szczegółowe advisory opublikowała firma Core Security.