CVE-2021-38457

Brak uwierzytelnienia w serwerze Auvesy Versiondog umożliwia nieautoryzowany dostęp

CVSS 9.8v3.1pub. 2021-10-22upd. 2024-11-21

Serwer aplikacji Auvesy Versiondog umożliwia nawiązanie sesji bez jakiejkolwiek procedury uwierzytelnienia. Podatność jest krytyczna, ponieważ atakujący zdalnie i bez żadnych uprawnień może przejąć pełną kontrolę nad komunikacją z serwerem.

▸ Pokaż oryginał (EN)

The server permits communication without any authentication procedure, allowing the attacker to initiate a session with the server without providing any form of authentication.

🤖 Analiza AI

Jak działa

Serwer nie wymaga od klienta podania żadnych danych uwierzytelniających przed nawiązaniem sesji. Atakujący może bezpośrednio zainicjować połączenie przez sieć i uzyskać dostęp do funkcjonalności serwera, omijając mechanizmy kontroli dostępu. Brak wymagania uwierzytelnienia (CWE-306) w połączeniu z nieodpowiednią kontrolą dostępu (CWE-284) oznacza, że każda osoba mająca dostęp sieciowy do serwera może wchodzić z nim w interakcję jak autoryzowany użytkownik.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do serwera, co potencjalnie skutkuje ujawnieniem poufnych danych, modyfikacją konfiguracji lub naruszeniem integralności i dostępności systemu przemysłowego zarządzanego przez Versiondog.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do serwera Versiondog wyłącznie do zaufanych hostów poprzez segmentację sieci i reguły firewall, zgodnie z zaleceniami poradnika ICSA-21-292-01.

Kogo dotyczy

Auvesy Versiondog — wersje wskazane w referencjach producenta (poradnik CISA ICS-CERT ICSA-21-292-01)

Uwagi

Podatność dotyczy systemu klasy ICS (Industrial Control System). CISA opublikowała dedykowany poradnik bezpieczeństwa ICS-CERT (ICSA-21-292-01) w dniu publikacji CVE.