CVE-2019-12394

Anviz Access Control — zmiana hasła admina bez uwierzytelnienia

CVSS 9.8v3.1pub. 2019-12-02upd. 2024-11-21

Urządzenia kontroli dostępu firmy Anviz umożliwiają zmianę hasła administratora bez uprzedniego uwierzytelnienia. Podatność umożliwia zdalnemu atakującemu całkowite przejęcie kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

Anviz access control devices allow unverified password change which allows remote attackers to change the administrator password without prior authentication.

🤖 Analiza AI

Jak działa

System zarządzania Anviz nie weryfikuje tożsamości użytkownika przed wykonaniem operacji zmiany hasła administratora. Atakujący może wysłać odpowiednio spreparowane żądanie sieciowe, które zostanie przyjęte i przetworzone bez jakiegokolwiek sprawdzenia uprawnień (CWE-287 — nieprawidłowe uwierzytelnienie). W efekcie hasło administratora zostaje nadpisane wartością kontrolowaną przez atakującego.

Skutki

Atakujący uzyskuje pełne uprawnienia administracyjne do urządzenia kontroli dostępu, co może skutkować nieautoryzowanym otwarciem lub blokadą przejść, modyfikacją konfiguracji oraz dalszym ruchem w sieci (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się izolację urządzeń Anviz w osobnym segmencie sieci (VLAN), ograniczenie dostępu do interfejsów zarządzania za pomocą firewall oraz monitorowanie nieautoryzowanych prób zmiany konfiguracji.

Kogo dotyczy

Urządzenia kontroli dostępu Anviz z systemem Anviz Management System — konkretne wersje wskazane w referencjach producenta i publikacji badacza

Uwagi

Publiczna analiza techniczna podatności została opublikowana 28 listopada 2019 r. pod adresem https://www.0x90.zone/multiple/reverse/2019/11/28/Anviz-pwn.html, co oznacza, że szczegółowy opis mechanizmu ataku jest publicznie dostępny.