CVE-2016-2310

Zakodowane na stałe hasła w przełącznikach GE Multilink umożliwiają zdalne przejęcie konfiguracji

CVSS 9.8v3.1pub. 2016-06-09upd. 2026-05-06

Przełączniki GE Multilink serii ML800, ML1200, ML1600, ML2400, ML810, ML3000 i ML3100 zawierają zakodowane na stałe dane uwierzytelniające (hardcoded credentials), które nie mogą zostać zmienione przez administratora. Podatność jest krytyczna, ponieważ umożliwia nieuwierzytelnionemu atakującemu zdalną modyfikację konfiguracji urządzenia przez interfejs webowy.

▸ Pokaż oryginał (EN)

General Electric (GE) Multilink ML800, ML1200, ML1600, and ML2400 switches with firmware before 5.5.0 and ML810, ML3000, and ML3100 switches with firmware before 5.5.0k have hardcoded credentials, which allows remote attackers to modify configuration settings via the web interface.

🤖 Analiza AI

Jak działa

Producent wbudował w firmware przełączników stałe dane logowania (CWE-798), które są identyczne we wszystkich egzemplarzach danego modelu. Atakujący znający te dane może bez żadnej autoryzacji uzyskać dostęp do panelu administracyjnego przez interfejs webowy. Ponieważ dane te są zakodowane w oprogramowaniu układowym, zmiana hasła przez administratora nie eliminuje zagrożenia.

Skutki

Atakujący zdalnie i bez uwierzytelnienia może uzyskać pełny dostęp do interfejsu konfiguracyjnego przełącznika i dowolnie modyfikować jego ustawienia sieciowe, co w środowiskach przemysłowych (ICS) może prowadzić do zakłócenia lub wyłączenia krytycznej infrastruktury.

Mitygacja

Należy zaktualizować firmware do wersji 5.5.0 lub nowszej (dla modeli ML800, ML1200, ML1600, ML2400) oraz do wersji 5.5.0k lub nowszej (dla modeli ML810, ML3000, ML3100). Szczegółowe informacje dostępne w poradniku ICS-CERT ICSA-16-154-01.

Kogo dotyczy

GE Multilink ML800, ML1200, ML1600, ML2400 z firmware przed wersją 5.5.0 oraz GE Multilink ML810, ML3000, ML3100 z firmware przed wersją 5.5.0k

Uwagi

Podatność dotyczy urządzeń stosowanych w środowiskach przemysłowych (ICS/SCADA). Poradnik bezpieczeństwa został opublikowany przez ICS-CERT jako ICSA-16-154-01.