CVE-2022-36301

Bosch BF-OS: brak wymuszania silnych haseł umożliwia brute-force

CVSS 9.8v3.1pub. 2022-08-01upd. 2024-11-21

Oprogramowanie Bosch BF-OS w wersjach 3.x do 3.83 włącznie nie wymusza stosowania silnych haseł, co pozwala zdalnemu atakującemu na przeprowadzenie ataku brute-force i przejęcie dostępu do urządzenia. Podatność jest sklasyfikowana jako krytyczna ze względu na brak wymagań uwierzytelnienia i pełny wpływ na poufność, integralność oraz dostępność systemu.

▸ Pokaż oryginał (EN)

BF-OS version 3.x up to and including 3.83 do not enforce strong passwords which may allow a remote attacker to brute-force the device password.

🤖 Analiza AI

Jak działa

System nie nakłada wymagań dotyczących złożoności haseł (CWE-521 — Weak Password Requirements), przez co użytkownicy mogą ustawiać proste, łatwe do odgadnięcia hasła. Zdalny atakujący bez żadnych uprawnień może wielokrotnie próbować różnych kombinacji haseł przez sieć (atak brute-force), dopóki nie uzyska dostępu do urządzenia. Brak mechanizmów ograniczających liczbę prób logowania lub wymuszających odpowiednią złożoność hasła znacząco ułatwia powodzenie takiego ataku.

Skutki

Skuteczne przeprowadzenie ataku brute-force daje atakującemu pełny dostęp do urządzenia, co skutkuje całkowitą utratą poufności, integralności i dostępności systemu. Atakujący może przejąć kontrolę nad urządzeniem, modyfikować jego konfigurację lub zakłócić jego działanie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje oraz zaktualizowane wersje oprogramowania dostępne są w poradniku Bosch PSIRT pod adresem: https://psirt.bosch.com/security-advisories/bosch-sa-013924-bt.html. Dodatkowo zaleca się natychmiastową zmianę haseł na silne, złożone kombinacje oraz — jeśli to możliwe — ograniczenie dostępu sieciowego do urządzenia za pomocą firewall lub segmentacji sieci.