CVE-2020-11956

Naruszenie zasady minimalnych uprawnień w urządzeniach Rittal PDU i CMCIII

CVSS 9.8v3.1pub. 2020-07-14upd. 2024-11-21

Podatność klasy CWE-269 (nieprawidłowe zarządzanie uprawnieniami) wykryta w firmware urządzeń Rittal PDU-3C002DEC oraz CMCIII-PU-9333E0FB. Krytyczny wynik CVSS 9.8 wskazuje, że atakujący zdalny i nieuwierzytelniony może uzyskać nieautoryzowane, nadmiarowe uprawnienia w systemie.

▸ Pokaż oryginał (EN)

An issue was discovered on Rittal PDU-3C002DEC through 5.17.10 and CMCIII-PU-9333E0FB through 3.17.10 devices. There is a least privilege violation.

🤖 Analiza AI

Jak działa

Podatność polega na naruszeniu zasady minimalnych uprawnień (least privilege violation) w oprogramowaniu firmware omawianych urządzeń. Mechanizm przydzielania uprawnień jest nieprawidłowo zaimplementowany, co skutkuje tym, że podmiot (użytkownik lub proces) uzyskuje wyższy poziom dostępu niż wynika to z jego roli. Ze względu na wektor sieciowy (AV:N) bez wymogu uwierzytelnienia (PR:N, UI:N), podatność może być wykorzystana przez dowolnego atakującego z dostępem sieciowym do urządzenia.

Skutki

Atakujący może uzyskać nieautoryzowany, podwyższony dostęp do urządzenia, co potencjalnie prowadzi do pełnego przejęcia kontroli nad nim — w tym do odczytu i modyfikacji konfiguracji, zakłócenia dostępności oraz naruszenia integralności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do paneli zarządzania urządzeniami Rittal wyłącznie do zaufanych hostów/sieci zarządzania (segmentacja sieci, firewall).

Kogo dotyczy

Rittal PDU-3C002DEC z firmware do wersji 5.17.10 włącznie oraz Rittal CMCIII-PU-9333E0FB z firmware do wersji 3.17.10 włącznie.

Uwagi

Podatność została opisana przez firmę SEC Consult w ramach opracowania dotyczącego wielu krytycznych podatności w produktach Rittal opartych na wspólnym oprogramowaniu.