CVE-2023-30603

Hitron CODA-5310: domyślne dane logowania Telnet umożliwiają przejęcie urządzenia

CVSS 9.8v3.1pub. 2023-06-02upd. 2024-11-21

Urządzenie Hitron Technologies CODA-5310 posiada wbudowane domyślne konto i hasło dla usługi Telnet, bez żadnego mechanizmu wymuszającego ich zmianę. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność do uzyskania uprawnień administratora bez żadnej znajomości środowiska ofiary.

▸ Pokaż oryginał (EN)

Hitron Technologies CODA-5310 Telnet function with the default account and password, and there is no warning or prompt to ask users to change the default password and account. An unauthenticated remote attackers can exploit this vulnerability to obtain the administrator’s privilege, resulting in performing arbitrary system operation or disrupt service.

🤖 Analiza AI

Jak działa

Usługa Telnet na urządzeniu CODA-5310 jest dostępna z domyślnymi, niezmienionymi danymi uwierzytelniającymi (login i hasło). Urządzenie nie ostrzega użytkownika o konieczności zmiany domyślnych poświadczeń ani nie wymusza ich zmiany podczas konfiguracji. Atakujący może połączyć się przez Telnet, podając znane domyślne dane, i uzyskać dostęp na poziomie administratora bez żadnej dodatkowej interakcji ze strony użytkownika.

Skutki

Atakujący uzyskuje pełne uprawnienia administratora na urządzeniu, co umożliwia wykonywanie dowolnych operacji systemowych lub spowodowanie przerwy w świadczeniu usługi (denial of service).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo, do czasu aktualizacji, zaleca się wyłączenie usługi Telnet na urządzeniu, zmianę domyślnych danych logowania oraz ograniczenie dostępu do interfejsu zarządzania na poziomie sieci (firewall, segmentacja).

Kogo dotyczy

Hitrontech CODA-5310 (Firmware) — wersje wskazane w referencjach producenta

Uwagi

Podatność sklasyfikowana jako CWE-1392 (Use of Default Credentials). Informacja o podatności pochodzi z bazy TWCERT/CC (Taiwan Computer Emergency Response Team / Coordination Center).