CVE-2022-29477

Authentication bypass w web interface Abode Systems iota Security Kit

CVSS 9.8v3.1pub. 2022-10-25upd. 2024-11-21

Krytyczna podatność typu authentication bypass w interfejsie webowym urządzenia Abode Systems iota All-In-One Security Kit umożliwia nieuwierzytelnionemu atakującemu ominięcie mechanizmów autoryzacji. Podatność jest szczególnie niebezpieczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika i jest dostępna zdalnie przez sieć.

▸ Pokaż oryginał (EN)

An authentication bypass vulnerability exists in the web interface /action/factory* functionality of Abode Systems, Inc. iota All-In-One Security Kit 6.9X and 6.9Z. A specially-crafted HTTP header can lead to authentication bypass. An attacker can send an HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność (CWE-798 — użycie zakodowanych na stałe poświadczeń) dotyczy funkcjonalności endpointu /action/factory* w interfejsie webowym urządzenia. Atakujący może wysłać specjalnie spreparowany nagłówek HTTP, który powoduje ominięcie mechanizmu uwierzytelniania. Nie jest wymagana znajomość żadnych poświadczeń użytkownika ani wcześniejszy dostęp do systemu — wystarczy pojedyncze żądanie HTTP skierowane do podatnego endpointu.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do chronionych funkcji interfejsu webowego urządzenia, co może prowadzić do pełnego przejęcia kontroli nad systemem bezpieczeństwa, naruszenia poufności, integralności i dostępności danych oraz funkcji urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje dotyczące aktualizacji dostępne są w raporcie Cisco Talos Intelligence pod adresem: https://talosintelligence.com/vulnerability_reports/TALOS-2022-1554

Kogo dotyczy

Abode Systems iota All-In-One Security Kit w wersjach firmware 6.9X oraz 6.9Z

Uwagi

Podatność została zgłoszona i udokumentowana przez Cisco Talos Intelligence (raport TALOS-2022-1554). Endpoint /action/factory* sugeruje dostęp do funkcji fabrycznych/administracyjnych urządzenia, co może mieć szczególnie poważne konsekwencje dla systemów fizycznego bezpieczeństwa opartych na tym urządzeniu.