CVE-2020-35565

Podatność wynika z braku aktywnej ochrony przed wielokrotnym, nieograniczonym wprowadzaniem błędnych danych logowania (CWE-307 — improper restriction of excessive authentication attempts). Ponieważ mechanizm detekcji brute force jest domyślnie wyłączony, aplikacja nie blokuje ani nie spowalnia prób uwierzytelnienia po kolejnych niepowodzeniach. Atakujący może automatycznie wysyłać dużą liczbę żądań logowania z różnymi kombinacjami haseł, co pozwala na efektywne przeprowadzenie ataku słownikowego lub brute force bez żadnych przeszkód technicznych.

Skuteczny atak brute force może prowadzić do przejęcia konta użytkownika lub administratora, a w konsekwencji do uzyskania pełnego dostępu do systemu zdalnego zarządzania — co może skutkować ujawnieniem poufnych danych, modyfikacją konfiguracji urządzeń przemysłowych lub zakłóceniem ich działania.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (CERT VDE VDE-2021-003 oraz oficjalnym komunikatem bezpieczeństwa MB CONNECT LINE). Do czasu aktualizacji zaleca się ręczne włączenie mechanizmu wykrywania brute force w konfiguracji systemu oraz zastosowanie dodatkowych środków ochronnych, takich jak ograniczenie dostępu do stron logowania za pomocą firewall lub VPN.

MB CONNECT LINE mymbCONNECT24 oraz mbCONNECT24 w wersjach do 2.6.2 włącznie.