CVE-2024-36388

Brak uwierzytelnienia dla krytycznych funkcji w Milesight DeviceHub

CVSS 10.0v3.1pub. 2024-06-02upd. 2025-03-04

Podatność w Milesight DeviceHub polega na braku wymaganego uwierzytelnienia dla krytycznych funkcji systemu (CWE-305, CWE-306). Uzyskała najwyższy możliwy wynik CVSS 10.0, co oznacza możliwość pełnego przejęcia systemu przez nieuwierzytelnionego atakującego zdalnie.

▸ Pokaż oryginał (EN)

MileSight DeviceHub - CWE-305 Missing Authentication for Critical Function

🤖 Analiza AI

Jak działa

Atakujący może bez posiadania jakichkolwiek poświadczeń uzyskać dostęp do krytycznych funkcji platformy Milesight DeviceHub. Brak mechanizmów uwierzytelnienia (CWE-305) oraz brak kontroli dostępu (CWE-306) umożliwia wywołanie uprzywilejowanych operacji bezpośrednio przez sieć, bez konieczności interakcji użytkownika. Wektor ataku jest sieciowy, nie wymaga złożonych warunków ani żadnych uprawnień.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, w tym dostęp do poufnych danych, możliwość ich modyfikacji oraz zakłócenia dostępności usług — co odpowiada maksymalnym ocenom poufności, integralności i dostępności w skali CVSS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest również ograniczenie dostępu sieciowego do interfejsów administracyjnych DeviceHub za pomocą firewall oraz segmentacja sieci do czasu wdrożenia poprawki.

Kogo dotyczy

Milesight DeviceHub oraz Canonical Ubuntu Linux — wersje wskazane w referencjach producenta

Uwagi

Szczegóły techniczne podatności są ograniczone — opis oryginalny CVE nie zawiera dodatkowych informacji ponad identyfikację CWE. Referencje prowadzą do izraelskiego rządowego portalu doradztw CVE (gov.il).