CVE-2021-45427

Emerson XWEB 300D EVO — nieuwierzytelniony path traversal umożliwiający usuwanie plików

CVSS 9.8v3.1pub. 2021-12-30upd. 2024-11-21

Firmware Emerson XWEB 300D EVO w wersji 3.0.7--3ee403 zawiera krytyczną podatność typu path traversal, pozwalającą nieuwierzytelnionemu atakującemu na przeglądanie i usuwanie dowolnych plików systemowych. Brak wymagania jakiegokolwiek uwierzytelnienia w połączeniu z nieprawidłową kontrolą dostępu czyni tę podatność wyjątkowo groźną.

▸ Pokaż oryginał (EN)

Emerson XWEB 300D EVO 3.0.7--3ee403 is affected by: unauthenticated arbitrary file deletion due to path traversal. An attacker can browse and delete files without any authentication due to incorrect access control and directory traversal.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej implementacji kontroli dostępu oraz braku walidacji ścieżek w oprogramowaniu urządzenia. Atakujący, bez konieczności posiadania jakichkolwiek poświadczeń, może wysyłać żądania zawierające sekwencje path traversal (np. '../'), aby wychodzić poza dozwolony katalog. W ten sposób uzyskuje możliwość zarówno odczytu struktury katalogów, jak i trwałego usuwania dowolnych plików dostępnych systemowi.

Skutki

Atakujący może bez uwierzytelnienia trwale usunąć krytyczne pliki systemowe lub konfiguracyjne urządzenia, co może prowadzić do jego awarii, utraty danych lub zakłócenia działania infrastruktury, którą urządzenie obsługuje. Możliwy jest również nieuprawniony odczyt zawartości systemu plików.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia aktualizacji zaleca się izolację urządzeń od sieci publicznej (np. za pomocą firewall lub segmentacji sieci) oraz ograniczenie dostępu sieciowego do zaufanych hostów.