CVE-2020-15347

Zyxel CloudCNM SecuManager — zakodowane na stałe hasło konta axiros

CVSS 9.8v3.1pub. 2022-09-29upd. 2024-11-21

Zyxel CloudCNM SecuManager w wersjach 3.1.0 i 3.1.1 zawiera zakodowane na stałe hasło do konta axiros, co stanowi krytyczne zagrożenie. Atakujący posiadający wiedzę o tym haśle może uzyskać nieautoryzowany dostęp do systemu bez żadnych dodatkowych uprawnień.

▸ Pokaż oryginał (EN)

Zyxel CloudCNM SecuManager 3.1.0 and 3.1.1 has the q6xV4aW8bQ4cfD-b password for the axiros account.

🤖 Analiza AI

Jak działa

W oprogramowaniu Zyxel CloudCNM SecuManager zakodowano na stałe hasło 'q6xV4aW8bQ4cfD-b' przypisane do konta użytkownika axiros. Ponieważ hasło jest identyczne we wszystkich instalacjach tych wersji produktu, każda osoba znająca to hasło może zalogować się na to konto. Podatność jest sklasyfikowana jako CWE-522, czyli niewystarczająco chronione dane uwierzytelniające, i nie wymaga żadnej interakcji ze strony ofiary ani specjalnych warunków sieciowych.

Skutki

Atakujący może uzyskać pełny, nieautoryzowany dostęp do systemu zarządzania siecią, co potencjalnie umożliwia przejęcie kontroli nad zarządzanymi urządzeniami sieciowymi, kradzież danych konfiguracyjnych oraz naruszenie poufności, integralności i dostępności infrastruktury.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.zyxel.com/support/vulnerabilities-of-CloudCNM-SecuManager.shtml). Do czasu aktualizacji zaleca się izolację systemu od sieci publicznych oraz ograniczenie dostępu sieciowego do interfejsów zarządzania.

Kogo dotyczy

Zyxel CloudCNM SecuManager w wersjach 3.1.0 oraz 3.1.1.

Uwagi

Podatność została opisana publicznie przez badacza bezpieczeństwa Pierre'a Kima w blogu opublikowanym 9 marca 2020 roku, natomiast CVE zostało oficjalnie opublikowane 29 września 2022 roku.