CVE-2017-14021

Hardkodowane klucze kryptograficzne w przełącznikach Korenix JetNet

CVSS 9.8v3.0pub. 2017-11-01upd. 2026-05-13

W urządzeniach sieciowych Korenix JetNet wykryto użycie hardkodowanych kluczy kryptograficznych i certyfikatów (CWE-321, CWE-798). Podatność umożliwia atakującemu przeprowadzenie ataku man-in-the-middle na zaszyfrowaną komunikację z urządzeniami.

▸ Pokaż oryginał (EN)

A Use of Hard-coded Cryptographic Key issue was discovered in Korenix JetNet JetNet5018G version 1.4, JetNet5310G version 1.4a, JetNet5428G-2G-2FX version 1.4, JetNet5628G-R version 1.4, JetNet5628G version 1.4, JetNet5728G-24P version 1.4, JetNet5828G version 1.1d, JetNet6710G-HVDC version 1.1e, and JetNet6710G version 1.1. An attacker may gain access to hard-coded certificates and private keys allowing the attacker to perform man-in-the-middle attacks.

🤖 Analiza AI

Jak działa

Oprogramowanie układowe (firmware) urządzeń Korenix JetNet zawiera na stałe wbudowane certyfikaty oraz prywatne klucze kryptograficzne, które są identyczne we wszystkich egzemplarzach danego modelu. Atakujący może pozyskać te klucze i certyfikaty z firmware'u urządzenia, a następnie wykorzystać je do podszywania się pod urządzenie lub deszyfrowania ruchu sieciowego. Atak jest możliwy zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, co odzwierciedla maksymalną ocenę CVSS 9.8.

Skutki

Atakujący może przeprowadzić atak man-in-the-middle, przechwytując i potencjalnie modyfikując zaszyfrowaną komunikację z urządzeniami, co prowadzi do naruszenia poufności i integralności przesyłanych danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (advisory ICS-CERT ICSA-17-299-01). Zaleca się również segmentację sieci przemysłowych oraz ograniczenie dostępu do urządzeń wyłącznie do autoryzowanych hostów.

Kogo dotyczy

Korenix JetNet5018G wersja 1.4, JetNet5310G wersja 1.4a, JetNet5428G-2G-2FX wersja 1.4, JetNet5628G-R wersja 1.4, JetNet5628G wersja 1.4, JetNet5728G-24P wersja 1.4, JetNet5828G wersja 1.1d, JetNet6710G-HVDC wersja 1.1e, JetNet6710G wersja 1.1

Uwagi

Podatność dotyczy urządzeń przemysłowych (przełączniki zarządzalne ICS/SCADA klasy Ethernet). Advisory opublikowane przez ICS-CERT (ICSA-17-299-01) w dniu 2017-10-26.