CVE-2021-22737

Schneider Electric homeLYnk/spaceLYnk — niewystarczająca ochrona poświadczeń

CVSS 9.8v3.1pub. 2021-05-26upd. 2024-11-21

Podatność w urządzeniach homeLYnk (Wiser For KNX) oraz spaceLYnk w wersji V2.60 i wcześniejszych umożliwia nieautoryzowany dostęp do systemu. Brak odpowiedniej ochrony przed atakami brute force pozwala napastnikowi na odgadnięcie poświadczeń i przejęcie kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

Insufficiently Protected Credentials vulnerability exists in homeLYnk (Wiser For KNX) and spaceLYnk V2.60 and prior that could cause unauthorized access of when credentials are discovered after a brute force attack.

🤖 Analiza AI

Jak działa

System nie implementuje wystarczających mechanizmów ograniczających liczbę prób uwierzytelnienia (brak blokady konta, limitu prób lub mechanizmu opóźnienia — CWE-307). Atakujący może przeprowadzić atak brute force na interfejs uwierzytelniania, iteracyjnie próbując różnych kombinacji poświadczeń. Po pomyślnym odgadnięciu danych logowania uzyskuje nieautoryzowany dostęp do urządzenia.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do urządzenia z pełnymi uprawnieniami, co może skutkować przejęciem kontroli nad instalacją KNX (automatyka budynkowa), modyfikacją konfiguracji oraz naruszeniem poufności i integralności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (biuletyn bezpieczeństwa Schneider Electric SEVD-2021-130-04). Dodatkowo zaleca się ograniczenie dostępu sieciowego do urządzeń poprzez firewall oraz stosowanie silnych, unikalnych haseł.