CVE-2022-43400

Pominięcie uwierzytelnienia w Siemens Siveillance Video Mobile Server

CVSS 9.8v3.1pub. 2022-10-21upd. 2025-05-07

Komponent mobile server w aplikacji Siemens Siveillance Video Mobile Server nieprawidłowo obsługuje logowanie dla kont Active Directory należących do grupy Administrators. Nieuwaytelniony zdalny atakujący może uzyskać dostęp do aplikacji bez posiadania ważnego konta.

▸ Pokaż oryginał (EN)

A vulnerability has been identified in Siveillance Video Mobile Server V2022 R2 (All versions < V22.2a (80)). The mobile server component of affected applications improperly handles the log in for Active Directory accounts that are part of Administrators group. This could allow an unauthenticated remote attacker to access the application without a valid account.

🤖 Analiza AI

Jak działa

Podatność wynika z błędnej implementacji mechanizmu uwierzytelnienia (auth bypass, CWE-287/CWE-1390) w komponencie mobile server. Serwer niepoprawnie przetwarza próby logowania kont Active Directory przypisanych do grupy Administrators, co prowadzi do ominięcia weryfikacji tożsamości. Atakujący może zdalnie, przez sieć, bez żadnej interakcji użytkownika ani wymaganych uprawnień, skorzystać z tej luki i uzyskać nieautoryzowany dostęp.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do aplikacji Siveillance Video Mobile Server, potencjalnie przejmując pełną kontrolę nad systemem zarządzania monitoringiem wideo, co wiąże się z zagrożeniem poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować Siveillance Video Mobile Server V2022 R2 do wersji V22.2a (80) lub nowszej. Szczegółowe informacje dostępne w biuletynie bezpieczeństwa Siemens SSA-640732.