CVE-2020-28332

Barco wePresent WiPG-1600W — brak weryfikacji integralności aktualizacji firmware

CVSS 9.8v3.1pub. 2020-11-24upd. 2024-11-21

Urządzenia Barco wePresent WiPG-1600W pobierają i instalują aktualizacje firmware bez weryfikacji podpisu cyfrowego. Umożliwia to atakującemu podmianę legalnego obrazu firmware na złośliwy i jego zainstalowanie na urządzeniu.

▸ Pokaż oryginał (EN)

Barco wePresent WiPG-1600W devices download code without an Integrity Check. Affected Version(s): 2.5.1.8, 2.5.0.25, 2.5.0.24, 2.4.1.19. The Barco wePresent WiPG-1600W firmware does not perform verification of digitally signed firmware updates and is susceptible to processing and installing modified/malicious images.

🤖 Analiza AI

Jak działa

Firmware urządzenia Barco wePresent WiPG-1600W nie weryfikuje integralności ani autentyczności pobieranych obrazów aktualizacji — brak sprawdzania podpisu cyfrowego (CWE-494: Download of Code Without Integrity Check). Atakujący może dostarczyć zmodyfikowany lub złośliwy obraz firmware, który zostanie przez urządzenie zaakceptowany i zainstalowany bez żadnej weryfikacji. Atak może być przeprowadzony zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Atakujący może trwale przejąć kontrolę nad urządzeniem poprzez instalację złośliwego firmware, co może prowadzić do pełnego naruszenia poufności, integralności i dostępności systemu, a także umożliwić wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do urządzeń WiPG-1600W oraz monitorowanie ruchu związanego z aktualizacjami firmware.

Kogo dotyczy

Barco wePresent WiPG-1600W Firmware w wersjach: 2.5.1.8, 2.5.0.25, 2.5.0.24, 2.4.1.19

Uwagi

Podatność została ujawniona publicznie przez firmę KoreLogic (advisory KL-001-2020-009) wraz z materiałami dowodowymi opublikowanymi na PacketStorm Security.