CVE-2024-45274

Zdalne wykonanie poleceń OS bez uwierzytelnienia via UDP w urządzeniach Mbconnectline i Helmholz

CVSS 9.8v3.1pub. 2024-10-15upd. 2025-11-03

Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie poleceń systemowych (OS command injection) na urządzeniach Mbconnectline Mbnet.Mini oraz Helmholz Rex 100 za pośrednictwem protokołu UDP. Brak mechanizmu uwierzytelnienia dla tej funkcji sprawia, że atakujący nie potrzebuje żadnych poświadczeń, by przejąć kontrolę nad urządzeniem.

▸ Pokaż oryginał (EN)

An unauthenticated remote attacker can execute OS commands via UDP on the device due to missing authentication.

🤖 Analiza AI

Jak działa

Podatność wynika z braku wymaganego uwierzytelnienia (CWE-306) dla funkcji przyjmującej polecenia przez UDP. Atakujący z dostępem sieciowym do urządzenia może wysyłać spreparowane pakiety UDP zawierające polecenia systemowe, które są wykonywane bezpośrednio przez system operacyjny urządzenia. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani wcześniejszego dostępu do systemu.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem, wykonując dowolne polecenia systemu operacyjnego, co skutkuje naruszeniem poufności, integralności oraz dostępności systemu. W kontekście urządzeń przemysłowych (industrial gateway/router) może to prowadzić do zakłócenia procesów operacyjnych lub wykorzystania urządzenia jako punktu wejścia do sieci OT.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://cert.vde.com/en/advisories/VDE-2024-056 oraz https://cert.vde.com/en/advisories/VDE-2024-066). Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do urządzeń poprzez firewall lub segmentację sieci oraz zablokowanie nieautoryzowanego ruchu UDP do tych urządzeń.

Kogo dotyczy

Urządzenia Mbconnectline Mbnet.Mini (firmware) oraz Helmholz Rex 100 (firmware) — konkretne wersje wskazane w referencjach producenta (CERT VDE advisories VDE-2024-056 i VDE-2024-066)

Uwagi

Podatność została opisana w publicznym advisory SySS (SYSS-2024-063) oraz opublikowana na liście full-disclosure, co oznacza publiczną dostępność szczegółów technicznych.