CVE-2023-49255

Hongdian H8951-4G-Esp — dostęp do konsoli routera bez uwierzytelnienia

CVSS 9.8v3.1pub. 2024-01-12upd. 2025-06-03

Konsola zarządzająca routera Hongdian H8951-4G-Esp jest dostępna bez uwierzytelnienia w polu "data", co umożliwia anonimowemu użytkownikowi wykonywanie poleceń w kontekście aktualnie zalogowanego użytkownika. W przypadku gdy zalogowany użytkownik posiada uprawnienia administratora, atakujący może bez autoryzacji przejąć pełną kontrolę nad urządzeniem.

▸ Pokaż oryginał (EN)

The router console is accessible without authentication at "data" field, and while a user needs to be logged in in order to modify the configuration, the session state is shared. If any other user is currently logged in, the anonymous user can execute commands in the context of the authenticated one. If the logged in user has administrative privileges, it is possible to use webadmin service configuration commands to create a new admin user with a chosen password.

🤖 Analiza AI

Jak działa

Podatność wynika z braku wymuszenia uwierzytelnienia (CWE-306) dla endpointu "data" konsoli routera. Stan sesji jest współdzielony między użytkownikami — jeśli w tym samym czasie jakikolwiek użytkownik jest zalogowany, anonimowy atakujący może wykonywać polecenia w kontekście tej sesji. Gdy aktywna sesja należy do administratora, atakujący może wykorzystać polecenia konfiguracyjne usługi webadmin do utworzenia nowego konta administratora z dowolnie wybranym hasłem.

Skutki

Atakujący zdalny, nieuwierzytelniony może przejąć pełną kontrolę administracyjną nad routerem poprzez utworzenie nowego konta administratora, co skutkuje pełnym naruszeniem poufności, integralności i dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzającego routera wyłącznie do zaufanych adresów IP oraz monitorowanie nieautoryzowanych prób dostępu do konsoli.

Kogo dotyczy

Hongdian H8951-4G-Esp Firmware oraz urządzenia Hongdian H8951-4G-Esp; konkretne wersje wskazane w referencjach producenta

Uwagi

Podatność została opisana i opublikowana przez CERT Polska w dniu 12 stycznia 2024 roku (referencje wskazują na blog CERT.pl). Podatność powiązana jest tematycznie z CVE-2023-49253 opisanym w tym samym artykule badawczym.