CVE-2022-34827

Nieprawidłowa kontrola dostępu w Carel Boss Mini 1.5.0

CVSS 9.9v3.1pub. 2022-11-18upd. 2025-04-29

Carel Boss Mini w wersji 1.5.0 zawiera podatność polegającą na nieprawidłowej kontroli dostępu (Improper Access Control). Wysoki wynik CVSS 9.9 wskazuje, że zalogowany zdalnie użytkownik może uzyskać nieautoryzowany dostęp wykraczający poza swoje uprawnienia, co czyni tę podatność krytyczną dla systemów zarządzania budynkiem.

▸ Pokaż oryginał (EN)

Carel Boss Mini 1.5.0 has Improper Access Control.

🤖 Analiza AI

Jak działa

Podatność klasyfikowana jest jako CWE-284 (Improper Access Control), co oznacza, że mechanizmy kontroli dostępu w firmware urządzenia Carel Boss Mini nie są prawidłowo zaimplementowane lub egzekwowane. Wektor CVSS wskazuje na atak sieciowy (AV:N) o niskiej złożoności (AC:L), wymagający jedynie niskich uprawnień (PR:L), bez interakcji użytkownika (UI:N). Zakres ataku wykracza poza komponent podatny (S:C), co sugeruje możliwość wpływu na inne elementy systemu.

Skutki

Atakujący z minimalnym poziomem uwierzytelnienia może uzyskać nieautoryzowany dostęp do wrażliwych danych (C:H), modyfikować dane lub konfigurację systemu (I:H) oraz potencjalnie zakłócić jego dostępność (A:H), co w przypadku systemów sterowania HVAC może prowadzić do poważnych konsekwencji operacyjnych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje dotyczące aktualizacji oraz obejść dostępne są w raporcie Mandiant pod identyfikatorem MNDT-2022-0040 (https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2022/MNDT-2022-0040/MNDT-2022-0040.md). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do urządzenia wyłącznie do zaufanych hostów.

Kogo dotyczy

Carel Boss Mini z firmware w wersji 1.5.0

Uwagi

Podatność została ujawniona przez Mandiant w ramach programu ujawniania podatności (identyfikator MNDT-2022-0040), co wynika z odnośników do repozytorium Mandiant Vulnerability-Disclosures.