CVE-2020-16210

Reflected XSS umożliwiający RCE w Red Lion N-Tron 702-W / 702M12-W

CVSS 9.0v3.1pub. 2020-09-01upd. 2024-11-21

Urządzenia przemysłowe Red Lion N-Tron 702-W oraz 702M12-W (wszystkie wersje firmware) są podatne na reflected cross-site scripting (XSS), który może pozwolić atakującemu na zdalne wykonanie dowolnego kodu. Wysoki wynik CVSS 9.0 odzwierciedla poważne ryzyko związane z możliwością przejęcia kontroli nad sesją zaatakowanego użytkownika.

▸ Pokaż oryginał (EN)

The affected product is vulnerable to reflected cross-site scripting, which may allow an attacker to remotely execute arbitrary code and perform actions in the context of an attacked user on the N-Tron 702-W / 702M12-W (all versions).

🤖 Analiza AI

Jak działa

Atakujący, posiadający konto w systemie, przesyła ofierze spreparowany link zawierający złośliwy payload JavaScript. Gdy ofiara kliknie link i załaduje go w przeglądarce, skrypt zostaje odczytany z odpowiedzi serwera i wykonany w kontekście sesji zaatakowanego użytkownika bez odpowiedniego oczyszczania danych wejściowych (reflected XSS). Mechanizm ten pozwala atakującemu działać z uprawnieniami ofiary w interfejsie zarządzania urządzeniem, co w przypadku urządzeń przemysłowych może prowadzić do wykonania nieautoryzowanych poleceń.

Skutki

Atakujący może zdalnie wykonać dowolny kod oraz przeprowadzać działania w kontekście zaatakowanego użytkownika, potencjalnie uzyskując pełną kontrolę nad urządzeniem sieciowym — w tym dostęp do poufnych danych konfiguracyjnych oraz możliwość modyfikacji ustawień urządzenia przemysłowego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (zalecenie ICS-CERT: ICSA-20-240-01). Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniem wyłącznie do zaufanych sieci oraz unikanie otwierania nieznanych linków podczas aktywnych sesji administracyjnych na urządzeniu.

Kogo dotyczy

Red Lion N-Tron 702-W oraz N-Tron 702M12-W — wszystkie wersje firmware (w tym udokumentowana wersja 2.0.26).

Uwagi

Publicznie dostępne exploity zostały opublikowane w serwisach Packet Storm Security oraz Full Disclosure we wrześniu 2020 r. (m.in. demonstracja XSS/CSRF/Shell dla wersji 2.0.26). Podatność dotyczy urządzeń stosowanych w środowiskach przemysłowych (ICS/OT), co zwiększa potencjalne ryzyko operacyjne.