CVE-2017-14027

Zakodowane na stałe dane uwierzytelniające w urządzeniach Korenix JetNet

CVSS 9.8v3.0pub. 2017-11-01upd. 2026-05-13

W wielu modelach przełączników przemysłowych Korenix JetNet odkryto zakodowane na stałe, nieudokumentowane dane uwierzytelniające (hard-coded credentials). Luka umożliwia nieuwierzytelnionemu atakującemu uzyskanie zdalnego dostępu do urządzenia bez znajomości hasła ustawionego przez administratora.

▸ Pokaż oryginał (EN)

A Use of Hard-coded Credentials issue was discovered in Korenix JetNet JetNet5018G version 1.4, JetNet5310G version 1.4a, JetNet5428G-2G-2FX version 1.4, JetNet5628G-R version 1.4, JetNet5628G version 1.4, JetNet5728G-24P version 1.4, JetNet5828G version 1.1d, JetNet6710G-HVDC version 1.1e, and JetNet6710G version 1.1. The software uses undocumented hard-coded credentials that may allow an attacker to gain remote access.

🤖 Analiza AI

Jak działa

Oprogramowanie układowe (firmware) urządzeń zawiera wbudowane na stałe dane logowania, które nie są dokumentowane przez producenta i nie mogą być zmienione przez administratora w standardowy sposób. Atakujący posiadający wiedzę o tych poświadczeniach może wykorzystać je do nawiązania zdalnego połączenia z urządzeniem przez sieć, omijając wszelkie mechanizmy kontroli dostępu. Ze względu na sieciowy wektor ataku (AV:N) i brak wymagań dotyczących uprawnień (PR:N) oraz interakcji użytkownika (UI:N), atak może być przeprowadzony przez dowolną osobę z dostępem sieciowym do urządzenia.

Skutki

Atakujący może uzyskać pełny zdalny dostęp do urządzenia sieciowego, co skutkuje kompromitacją poufności, integralności i dostępności systemu. W środowiskach przemysłowych (ICS/OT) może to prowadzić do zakłócenia działania infrastruktury krytycznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się izolację urządzeń od sieci publicznej, ograniczenie dostępu sieciowego do urządzeń wyłącznie do zaufanych hostów oraz monitorowanie prób logowania. Szczegółowe zalecenia zawiera poradnik ICS-CERT: ICSA-17-299-01.

Kogo dotyczy

Korenix JetNet5018G wersja 1.4, JetNet5310G wersja 1.4a, JetNet5428G-2G-2FX wersja 1.4, JetNet5628G-R wersja 1.4, JetNet5628G wersja 1.4, JetNet5728G-24P wersja 1.4, JetNet5828G wersja 1.1d, JetNet6710G-HVDC wersja 1.1e, JetNet6710G wersja 1.1

Uwagi

Podatność dotyczy urządzeń klasy przemysłowej (ICS/OT). Poradnik bezpieczeństwa został opublikowany przez ICS-CERT (ICSA-17-299-01) w dniu 2017-10-26.