CVE-2019-18939

RCE w eQ-3 Homematic CCU2/CCU3 przez dodatek HM-Print (exec.cgi)

CVSS 9.8v3.1pub. 2019-11-14upd. 2024-11-21

Podatność w urządzeniach eQ-3 Homematic CCU2 i CCU3 z zainstalowanym dodatkiem HM-Print umożliwia nieuwierzytelnionym atakującym zdalne wykonanie kodu (RCE) przez interfejs webowy. Ze względu na brak jakiejkolwiek weryfikacji tożsamości użytkownika (Auth Bypass) jest to podatność o krytycznym poziomie ryzyka.

▸ Pokaż oryginał (EN)

eQ-3 Homematic CCU2 2.47.20 and CCU3 3.47.18 with the HM-Print AddOn through 1.2a installed allow Remote Code Execution by unauthenticated attackers with access to the web interface via the exec.cgi and exec1.cgi scripts, which execute TCL script content from an HTTP POST request.

🤖 Analiza AI

Jak działa

Dodatek HM-Print udostępnia w interfejsie webowym skrypty exec.cgi oraz exec1.cgi, które bez żadnego mechanizmu uwierzytelnienia (CWE-306 — brak autentykacji dla funkcji krytycznej) przyjmują i wykonują kod w języku TCL przesłany w treści żądania HTTP POST. Atakujący z dostępem sieciowym do interfejsu webowego urządzenia może przesłać dowolny payload TCL, który zostanie natychmiast wykonany na urządzeniu z uprawnieniami serwera webowego.

Skutki

Nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad urządzeniem — odczytać i modyfikować dane konfiguracyjne, zakłócić działanie instalacji inteligentnego domu, a także wykorzystać urządzenie jako punkt wejścia do dalszego lateral movement w sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek doraźny zaleca się usunięcie lub wyłączenie dodatku HM-Print oraz ograniczenie dostępu do interfejsu webowego urządzeń CCU wyłącznie do zaufanych hostów — np. za pomocą firewall lub segmentacji sieci, tak aby interfejs nie był dostępny z niezaufanych segmentów sieci.

Kogo dotyczy

eQ-3 Homematic CCU2 w wersji 2.47.20 oraz eQ-3 Homematic CCU3 w wersji 3.47.18 z zainstalowanym dodatkiem HM-Print w wersji do 1.2a włącznie.

Uwagi

Szczegółowy opis techniczny podatności wraz z proof-of-concept jest publicznie dostępny pod adresem https://psytester.github.io/CVE-2019-18939/, co istotnie obniża próg wejścia dla potencjalnych atakujących.