CVE-2022-27805

Pominięcie uwierzytelnienia w Abode Systems iota Security Kit — zdalne wykonanie XCMD

CVSS 9.8v3.1pub. 2022-10-25upd. 2024-11-21

Podatność typu authentication bypass w komponencie GHOME kontrolowanego oprogramowania urządzenia Abode Systems iota All-In-One Security Kit pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie poleceń XCMD. Krytyczny poziom zagrożenia wynika z braku wymogu uwierzytelnienia oraz możliwości pełnej kompromitacji urządzenia przez sieć.

▸ Pokaż oryginał (EN)

An authentication bypass vulnerability exists in the GHOME control functionality of Abode Systems, Inc. iota All-In-One Security Kit 6.9X and 6.9Z. A specially-crafted network request can lead to arbitrary XCMD execution. An attacker can send a malicious XML payload to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie sieciowe zawierające złośliwy payload w formacie XML do komponentu GHOME urządzenia. Wadliwa implementacja logiki kontroli dostępu (CWE-284) nie weryfikuje tożsamości nadawcy, co skutkuje akceptacją i wykonaniem zawartych w XML poleceniach XCMD. Exploit nie wymaga żadnych poświadczeń ani interakcji użytkownika, a atakujący może go przeprowadzić zdalnie przez sieć.

Skutki

Atakujący może wykonywać dowolne polecenia XCMD na urządzeniu bez uwierzytelnienia, co w praktyce oznacza możliwość pełnego przejęcia kontroli nad systemem bezpieczeństwa — naruszenie poufności, integralności oraz dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do urządzenia na poziomie firewall oraz segmentację sieci IoT, aby zminimalizować ekspozycję urządzenia na nieautoryzowany ruch sieciowy.