CVE-2019-3431

ZTE ZXCLOUD GoldenData VAP — przechwycenie danych logowania przez brak szyfrowania

CVSS 9.8v3.1pub. 2019-12-23upd. 2024-11-21

Wszystkie wersje produktu ZTE ZXCLOUD GoldenData VAP do V4.01.01.02 przesyłają dane uwierzytelniające (login i hasło) w postaci niezaszyfrowanej. Atakujący może przechwycić te dane za pomocą nasłuchu sieciowego (sniffing), uzyskując dostęp do systemu front-end.

▸ Pokaż oryginał (EN)

All versions up to V4.01.01.02 of ZTE ZXCLOUD GoldenData VAP product have encryption problems vulnerability. Attackers could sniff unencrypted account and password through the network for front-end system access.

🤖 Analiza AI

Jak działa

Produkt nie stosuje szyfrowania podczas transmisji danych logowania między klientem a systemem. Atakujący znajdujący się w tej samej sieci lub mający dostęp do ruchu sieciowego może przeprowadzić atak typu sniffing i odczytać przesyłane dane uwierzytelniające w postaci jawnego tekstu. Przechwycone dane mogą następnie zostać wykorzystane do nieuprawnionego zalogowania się do systemu front-end.

Skutki

Atakujący może przejąć dane uwierzytelniające (login i hasło) uprawnionych użytkowników, a następnie uzyskać nieautoryzowany dostęp do systemu front-end ZTE ZXCLOUD GoldenData VAP, potencjalnie naruszając poufność, integralność i dostępność systemu.

Mitygacja

Należy zaktualizować produkt do wersji wyższej niż V4.01.01.02. Szczegółowe informacje o dostępnych patchach należy uzyskać za pośrednictwem portalu wsparcia ZTE pod adresem wskazanym w referencjach. Jako środek doraźny zaleca się ograniczenie dostępu do sieci, w której funkcjonuje system, oraz stosowanie szyfrowanych tuneli (np. VPN) dla ruchu administracyjnego.