CVE-2022-36133

Pominięcie uwierzytelnienia w WebConfig urządzeń Epson TM-C3500/TM-C7500

CVSS 9.1v3.1pub. 2022-11-25upd. 2025-04-25

Podatność w funkcji WebConfig urządzeń Epson TM-C3500 i TM-C7500 z firmware WAM31500 umożliwia ominięcie mechanizmu uwierzytelnienia. Ze względu na krytyczny wynik CVSS 9.1 oraz brak wymagań dotyczących uprawnień czy interakcji użytkownika, stanowi poważne zagrożenie dla integralności i dostępności urządzenia.

▸ Pokaż oryginał (EN)

The WebConfig functionality of Epson TM-C3500 and TM-C7500 devices with firmware version WAM31500 allows authentication bypass.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-287 (niewłaściwe uwierzytelnienie) polega na tym, że interfejs WebConfig urządzenia nie weryfikuje poprawnie tożsamości użytkownika przed udzieleniem dostępu do funkcji administracyjnych. Atakujący zdalny, nieuwierzytelniony może ominąć procedury logowania i uzyskać nieuprawniony dostęp do panelu zarządzania urządzeniem. Wektor ataku jest sieciowy, a atak nie wymaga żadnych szczególnych warunków ani interakcji ze strony ofiary.

Skutki

Atakujący może bez uwierzytelnienia uzyskać dostęp do interfejsu administracyjnego urządzenia, co umożliwia mu modyfikację konfiguracji oraz zakłócenie lub zablokowanie jego działania, prowadząc do naruszenia integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja firmware urządzeń Epson TM-C3500 i TM-C7500 do wersji wskazanej w dokumentacji producenta dostępnej pod adresami w sekcji referencji. Zaleca się również ograniczenie dostępu sieciowego do interfejsu WebConfig wyłącznie do zaufanych hostów lub sieci wewnętrznej (np. przez firewall lub segmentację sieci).