CVE-2022-39070

Błąd kontroli dostępu w urządzeniach ZTE PON OLT umożliwia zdalne logowanie

CVSS 9.8v3.1pub. 2022-11-22upd. 2025-04-29

W oprogramowaniu układowym urządzeń ZTE ZXA10 C350M oraz ZXA10 C300M wykryto krytyczną podatność wynikającą z nieprawidłowej konfiguracji mechanizmów kontroli dostępu. Zdalni, nieuwierzytelnieni atakujący mogą zalogować się do urządzenia i wykonać dowolne operacje.

▸ Pokaż oryginał (EN)

There is an access control vulnerability in some ZTE PON OLT products. Due to improper access control settings, remote attackers could use the vulnerability to log in to the device and execute any operation.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowych ustawień kontroli dostępu (CWE-284) w oprogramowaniu układowym urządzeń klasy PON OLT firmy ZTE. Błędna konfiguracja mechanizmów autoryzacji pozwala zdalnym atakującym na obejście normalnego procesu uwierzytelniania. W rezultacie atakujący bez posiadania jakichkolwiek uprawnień może uzyskać dostęp do urządzenia przez sieć i wykonywać na nim dowolne polecenia.

Skutki

Atakujący może uzyskać pełny, nieautoryzowany dostęp do urządzenia sieciowego i wykonywać na nim dowolne operacje, co może prowadzić do naruszenia poufności, integralności oraz dostępności infrastruktury sieciowej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do interfejsów zarządzania urządzeń OLT wyłącznie do zaufanych adresów IP oraz segmentację sieci zarządzania.