CVE-2019-7268

Podatność sklasyfikowana jako CWE-434 (Unrestricted Upload of File with Dangerous Type) polega na braku mechanizmów uwierzytelniania oraz walidacji typu przesyłanego pliku w interfejsie urządzenia. Atakujący zdalnie, bez żadnych poświadczeń, może przesłać złośliwy plik — na przykład skrypt serwerowy — a następnie go wykonać. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani żadnych uprawnień, a zasięg ataku wykracza poza samo zaatakowane urządzenie.

Skuteczne wykorzystanie podatności może prowadzić do zdalnego wykonania kodu (RCE) na urządzeniu, co daje atakującemu pełną kontrolę nad systemem kontroli dostępu. Konsekwencje obejmują naruszenie poufności, integralności i dostępności systemu, a potencjalnie również kompromitację infrastruktury sieciowej, do której urządzenie jest podłączone.

Należy zastosować patche dostępne u producenta zgodnie z referencjami, w szczególności zaleceniem ICS-CERT (ICSA-20-184-01). Do czasu aktualizacji firmware należy ograniczyć dostęp sieciowy do interfejsu zarządzania urządzenia poprzez firewall lub segmentację sieci, uniemożliwiając dostęp z niezaufanych sieci.

Urządzenia Nortek Control Linear eMerge 50P oraz Linear eMerge 5000P — według referencji producenta dotyczy co najmniej wersji firmware 4.6.07; szczegółowe informacje o zakresie wersji należy zweryfikować w referencjach producenta.

Podatność dotyczy urządzeń z kategorii przemysłowych systemów kontroli dostępu (ICS). Publiczny exploit został opublikowany w serwisie Packet Storm Security (plik: Linear-eMerge50P-5000P-4.6.07-Remote-Code-Execution.html). Podatność objęta jest alertem ICS-CERT ICSA-20-184-01.