CVE-2019-16199

RCE bez uwierzytelnienia w eQ-3 Homematic CCU2 i CCU3

CVSS 9.8v3.1pub. 2019-09-17upd. 2024-11-21

Podatność w centralach domowej automatyki eQ-3 Homematic CCU2 (przed wersją 2.47.18) i CCU3 (przed wersją 3.47.18) umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Zagrożenie jest krytyczne, ponieważ nie wymaga żadnych poświadczeń ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

eQ-3 Homematic CCU2 before 2.47.18 and CCU3 before 3.47.18 allow Remote Code Execution by unauthenticated attackers with access to the web interface via an HTTP POST request to certain URLs related to the ReGa core process.

🤖 Analiza AI

Jak działa

Atakujący z dostępem do interfejsu webowego urządzenia może wysłać spreparowane żądanie HTTP POST do określonych adresów URL powiązanych z procesem ReGa core. Brak mechanizmu uwierzytelnienia (CWE-306) dla tych endpointów pozwala na bezpośrednie wykonanie złośliwego kodu na urządzeniu. Wystarczy dostęp sieciowy do panelu webowego centrali, aby skutecznie przeprowadzić atak.

Skutki

Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad urządzeniem, wykonując dowolny kod z jego uprawnieniami. Skutkuje to utratą poufności, integralności i dostępności systemu automatyki domowej, a potencjalnie również całej sieci lokalnej, do której podłączona jest centrala.

Mitygacja

Należy niezwłocznie zaktualizować firmware CCU2 do wersji 2.47.18 lub nowszej oraz CCU3 do wersji 3.47.18 lub nowszej. Dodatkowo zaleca się ograniczenie dostępu do interfejsu webowego centrali wyłącznie do zaufanych adresów IP oraz izolację urządzenia od publicznego internetu za pomocą firewall.

Kogo dotyczy

eQ-3 Homematic CCU2 w wersjach przed 2.47.18 oraz eQ-3 Homematic CCU3 w wersjach przed 3.47.18.

Uwagi

Szczegółowy opis techniczny podatności dostępny jest pod adresem https://psytester.github.io/CVE-2019-16199/, co wskazuje na publiczne ujawnienie mechanizmu ataku.