CVE-2019-7271

Urządzenia z firmware serii eMerge 50P i 5000P dostarczane są z fabrycznie ustawionymi domyślnymi danymi logowania (CWE-522 — niewystarczająco chronione poświadczenia). Atakujący zdalnie, bez uwierzytelnienia i bez konieczności posiadania specjalnych uprawnień, może skorzystać z tych domyślnych poświadczeń, aby uzyskać dostęp do systemu zarządzania dostępem fizycznym. Wektor ataku jest sieciowy, a jego złożoność — minimalna.

Atakujący może uzyskać pełną kontrolę nad urządzeniem, co obejmuje naruszenie poufności, integralności oraz dostępności systemu, a potencjalnie także kompromitację fizycznej infrastruktury kontroli dostępu.

Należy niezwłocznie zmienić domyślne dane uwierzytelniające na silne, unikalne hasła dla wszystkich urządzeń eMerge 50P i 5000P. Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.applied-risk.com/resources/ar-2019-006). Zaleca się również ograniczenie dostępu sieciowego do urządzeń poprzez segmentację sieci i firewall.

Urządzenia Nortek Linear eMerge 50P oraz eMerge 5000P (firmware i hardware) — zgodnie z opisem producenta. Szczegółowe wersje firmware wskazane są w referencjach producenta.

Podatność została ujawniona przez firmę Applied Risk i opisana w ich poradniku AR-2019-006, opublikowanym w referencjach.