CVE-2020-6091

Pominięcie uwierzytelniania w EPSON Web Control (Epson EB-1470Ui)

CVSS 9.1v3.1pub. 2020-05-22upd. 2024-11-21

W funkcjonalności EPSON Web Control projektora Epson EB-1470Ui istnieje krytyczna podatność pozwalająca na ominięcie uwierzytelniania. Osoba atakująca bez żadnych uprawnień może uzyskać nieautoryzowany dostęp do urządzenia poprzez sieć, co prowadzi do ujawnienia poufnych informacji.

▸ Pokaż oryginał (EN)

An exploitable authentication bypass vulnerability exists in the ESPON Web Control functionality of Epson EB-1470Ui MAIN: 98009273ESWWV107 MAIN2: 8X7325WWV303. A specially crafted series of HTTP requests can cause authentication bypass resulting in information disclosure. An attacker can send an HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej implementacji mechanizmu uwierzytelniania (CWE-288, CWE-287) w interfejsie webowym EPSON Web Control. Atakujący może wysłać odpowiednio spreparowaną serię żądań HTTP, która powoduje ominięcie procedury weryfikacji tożsamości. Exploitacja nie wymaga interakcji użytkownika ani posiadania jakichkolwiek poświadczeń — wystarczy dostęp sieciowy do urządzenia.

Skutki

Skuteczne wykorzystanie podatności umożliwia atakującemu nieautoryzowany dostęp do interfejsu zarządzania projektorem oraz ujawnienie poufnych informacji (information disclosure). Możliwa jest również modyfikacja ustawień urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://epson.com/support/wa00907). Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu Web Control urządzenia poprzez firewall lub segmentację sieci, tak aby był on dostępny wyłącznie z zaufanych hostów.