CVE-2022-45138

WAGO 751-9301/752-8303: Pominięcie uwierzytelnienia w API zarządzania

CVSS 9.8v3.1pub. 2023-02-27upd. 2024-11-21

Backend konfiguracyjny webowego interfejsu zarządzania urządzeniami WAGO jest dostępny dla nieuwierzytelnionych użytkowników, mimo że powinien wymagać autoryzacji. Podatność umożliwia zdalne przejęcie pełnej kontroli nad urządzeniem bez żadnych poświadczeń.

▸ Pokaż oryginał (EN)

The configuration backend of the web-based management can be used by unauthenticated users, although only authenticated users should be able to use the API. The vulnerability allows an unauthenticated attacker to read and set several device parameters that can lead to full compromise of the device.

🤖 Analiza AI

Jak działa

Interfejs API konfiguracyjny webowego panelu zarządzania nie wymusza weryfikacji tożsamości użytkownika (CWE-306 – brak uwierzytelnienia dla funkcji krytycznych). Atakujący zdalnie, przez sieć, może bezpośrednio wysyłać żądania do backendu konfiguracyjnego. Dzięki temu jest w stanie odczytywać oraz modyfikować parametry urządzenia, które powinny być dostępne wyłącznie dla autoryzowanych administratorów.

Skutki

Atakujący bez żadnych uprawnień może odczytać wrażliwe parametry konfiguracyjne oraz je zmieniać, co prowadzi do pełnego przejęcia kontroli nad urządzeniem (full compromise). Konsekwencje obejmują utratę poufności, integralności i dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://cert.vde.com/en/advisories/VDE-2022-060/). Dodatkowo, do czasu wdrożenia aktualizacji, zaleca się ograniczenie dostępu sieciowego do interfejsu webowego zarządzania wyłącznie do zaufanych hostów za pomocą firewall lub segmentacji sieci.

Kogo dotyczy

Urządzenia WAGO 751-9301 (firmware) oraz WAGO 752-8303/8000-002 (firmware) — szczegółowe wersje wskazane w referencjach producenta (CERT@VDE VDE-2022-060).