Urządzenie Lynx-Technik Yellobrik PEC-1864 realizuje weryfikację uwierzytelniania wyłącznie po stronie klienta, w JavaScript interfejsu webowego, co umożliwia zdalne ominięcie zabezpieczeń bez żadnych poświadczeń. Podatność jest szczególnie groźna, ponieważ producent zakończył wsparcie dla tego modelu i nie wydał patcha.
▸ Pokaż oryginał (EN)
Yellobrik PEC-1864 implements authentication checks via javascript in the frontend interface. When the device can be accessed over the network an attacker could bypass authentication. This would allow an attacker to : - Change the password, resulting in a DOS of the users - Change the streaming source, compromising the integrity of the stream - Change the streaming destination, compromising the confidentiality of the stream This issue affects Yellowbrik: PEC 1864. No patch has been issued by the manufacturer as this model was discontinued.
Mechanizm uwierzytelniania urządzenia oparty jest na logice JavaScript wykonywanej w przeglądarce użytkownika (frontend), zamiast być egzekwowany po stronie serwera (backend). Atakujący z dostępem sieciowym do urządzenia może ominąć te kontrole, pomijając lub manipulując kodem JavaScript po stronie klienta. W efekcie uzyskuje pełny dostęp do interfejsu konfiguracyjnego bez podawania prawidłowych danych logowania.
Atakujący bez uwierzytelnienia może zmienić hasło dostępowe (powodując trwałą niedostępność urządzenia dla uprawnionych użytkowników — efekt DoS), zmienić źródło lub cel strumienia wideo, naruszając integralność i poufność transmisji.
Producent nie wydał i nie wyda patcha — model PEC-1864 jest wycofany z oferty i wsparcia. Zaleca się natychmiastowe odizolowanie urządzeń od sieci publicznych i niezaufanych segmentów sieci wewnętrznej, ograniczenie dostępu do interfejsu webowego wyłącznie przez firewall lub dedykowaną sieć zarządzania (out-of-band management), a docelowo wymianę urządzenia na model aktywnie wspierany przez producenta.
Lynx-Technik Yellobrik PEC-1864 (wszystkie wersje firmware) — model wycofany z produkcji i wsparcia przez producenta.
Producent oficjalnie potwierdził brak patcha ze względu na zakończenie cyklu życia urządzenia (model discontinued). Brak jakiejkolwiek możliwości programowej remediacji po stronie firmware.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HLynx Technik Yellobrik Pec 1864
HWLynx-Technikwszystkie wersjeLynx Technik Yellobrik Pec 1864 Firmware
OSLynx-Technikwszystkie wersje