CVE-2020-28329

Barco wePresent WiPG-1600W — zakodowane na stałe dane uwierzytelniające API

CVSS 9.8v3.1pub. 2020-11-24upd. 2024-11-21

Firmware urządzenia Barco wePresent WiPG-1600W zawiera zakodowane na stałe (hardcoded) dane uwierzytelniające do konta API, które można odzyskać przez analizę obrazu firmware. Pozwala to nieuwierzytelnionemu atakującemu uzyskać pełen dostęp do administracyjnych funkcji API urządzenia.

▸ Pokaż oryginał (EN)

Barco wePresent WiPG-1600W firmware includes a hardcoded API account and password that is discoverable by inspecting the firmware image. A malicious actor could use this password to access authenticated, administrative functions in the API. Affected Version(s): 2.5.1.8, 2.5.0.25, 2.5.0.24, 2.4.1.19.

🤖 Analiza AI

Jak działa

Podatność wynika z obecności stałego konta API wraz z hasłem wbudowanym bezpośrednio w obraz firmware (CWE-798 — użycie zakodowanych na stałe poświadczeń). Osoba atakująca może pobrać i zdekompilować obraz firmware, a następnie wyodrębnić z niego dane uwierzytelniające. Uzyskane dane logowania umożliwiają dostęp do uwierzytelnionych, administracyjnych funkcji interfejsu API urządzenia bez znajomości żadnego hasła ustawionego przez administratora.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do pełnych funkcji administracyjnych API urządzenia, co może prowadzić do przejęcia kontroli nad urządzeniem, naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się izolację urządzeń Barco wePresent od niezaufanych sieci oraz ograniczenie dostępu do interfejsu API na poziomie sieci (firewall, segmentacja VLAN).