CVE-2023-3265

Authentication bypass w CyberPower PowerPanel Enterprise poprzez meta-znaki

CVSS 9.8v3.1pub. 2023-08-14upd. 2024-11-21

Podatność umożliwia nieuwierzytelnionemu atakującemu ominięcie mechanizmu uwierzytelnienia w CyberPower PowerPanel Enterprise i zalogowanie się jako administrator z domyślnymi, zakodowanymi na stałe danymi dostępowymi. Jest to szczególnie groźne, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

An authentication bypass exists on CyberPower PowerPanel Enterprise by failing to sanitize meta-characters from the username, allowing an attacker to login into the application with the default user "cyberpower" by appending a non-printable character.An unauthenticated attacker can leverage this vulnerability to log in to the CypberPower PowerPanel Enterprise as an administrator with hardcoded default credentials.

🤖 Analiza AI

Jak działa

Aplikacja nie filtruje poprawnie meta-znaków (w tym znaków niedrukowalnych) w polu nazwy użytkownika podczas logowania. Atakujący może dołączyć niedrukowalny znak do nazwy domyślnego użytkownika 'cyberpower', co powoduje obejście weryfikacji tożsamości. W rezultacie aplikacja uwierzytelnia żądanie jako prawidłowe i przyznaje dostęp z poziomem uprawnień administratora przy użyciu domyślnych, zakodowanych na stałe poświadczeń.

Skutki

Nieuwierzytelniony atakujący zdalnie uzyskuje pełny dostęp administracyjny do aplikacji CyberPower PowerPanel Enterprise, co skutkuje całkowitą utratą poufności, integralności i dostępności zarządzanego systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się zmianę domyślnych poświadczeń konta 'cyberpower' oraz ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych adresów IP.

Kogo dotyczy

CyberPower PowerPanel Enterprise — wersje wskazane w referencjach producenta

Uwagi

Podatność została ujawniona przez badaczy z Trellix w ramach badań bezpieczeństwa centrów danych. Luka dotyczy aplikacji zarządzającej infrastrukturą zasilania (UPS) w środowiskach data center, co czyni ją szczególnie istotną z punktu widzenia ciągłości działania.