CVE-2015-5989

Obejście autoryzacji po stronie klienta w Belkin F9K1102 2

CVSS 9.8v3.0pub. 2015-12-31upd. 2026-05-06

Urządzenia Belkin F9K1102 2 z firmware 2.10.17 implementują mechanizm autoryzacji wyłącznie w kodzie JavaScript po stronie klienta. Pozwala to zdalnym atakującym na uzyskanie uprawnień administratora bez znajomości hasła.

▸ Pokaż oryginał (EN)

Belkin F9K1102 2 devices with firmware 2.10.17 rely on client-side JavaScript code for authorization, which allows remote attackers to obtain administrative privileges via certain changes to LockStatus and Login_Success values.

🤖 Analiza AI

Jak działa

Mechanizm autoryzacji opiera się na wartościach zmiennych JavaScript (LockStatus i Login_Success) kontrolowanych po stronie klienta, a nie weryfikowanych przez serwer. Atakujący może zmodyfikować te wartości bezpośrednio w przeglądarce lub poprzez odpowiednio spreparowane żądania HTTP, omijając w ten sposób proces uwierzytelnienia. Serwer nie przeprowadza niezależnej weryfikacji uprawnień, ufając danym przesłanym przez klienta.

Skutki

Nieuwierzytelniony zdalny atakujący może uzyskać pełne uprawnienia administracyjne do urządzenia, co umożliwia przejęcie kontroli nad jego konfiguracją, siecią oraz wszystkimi zarządzanymi zasobami.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci lub adresów IP na poziomie firewall.

Kogo dotyczy

Belkin F9K1102 2 z firmware w wersji 2.10.17

Uwagi

Uwaga: metadane CVE wskazują produkt Zyxel GS1900-10HP Firmware, jednak opis oryginalny dotyczy urządzeń Belkin F9K1102 2 — karta opracowana na podstawie treści opisu EN. Podatność zgłoszona w bazie CERT/CC (VU#201168).