CVE-2024-46874

System Reyee OS nieprawidłowo zarządza uprawnieniami klientów MQTT — klient uwierzytelniony danymi pojedynczego urządzenia może publikować wiadomości do tematów MQTT, do których dostęp powinien być ograniczony wyłącznie do zaufanego backendu chmurowego. Atakujący, który wszedł w posiadanie poświadczeń dowolnego urządzenia, może połączyć się z brokerem MQTT i wysyłać spreparowane polecenia do innych urządzeń zarządzanych przez chmurę Ruijie. Błąd sklasyfikowany jest jako CWE-280 (Improper Handling of Insufficient Permissions or Privileges), co oznacza brak odpowiedniej weryfikacji zakresu uprawnień na poziomie komunikacji MQTT.

Atakujący posiadający dane uwierzytelniające jednego urządzenia może wykonywać nieautoryzowane polecenia na innych urządzeniach sieciowych w ekosystemie Reyee, skutecznie podszywając się pod serwer chmurowy producenta — co może prowadzić do przejęcia kontroli nad urządzeniami sieciowymi, zmiany ich konfiguracji lub zakłócenia działania infrastruktury.

Należy zaktualizować Ruijie Reyee OS do wersji 2.320.x lub nowszej. Szczegółowe informacje dotyczące aktualizacji dostępne są w komunikacie ICS-CERT pod adresem: https://www.cisa.gov/news-events/ics-advisories/icsa-24-338-01. Dodatkowo zaleca się ograniczenie dostępu do brokera MQTT na poziomie sieci oraz monitorowanie nieautoryzowanych połączeń MQTT.

Ruijie Reyee OS w wersjach od 2.206.x do wersji wcześniejszych niż 2.320.x.

Podatność została opisana w poradniku ICS-ADVISORY ICSA-24-338-01 opublikowanym przez CISA, dotyczącym bezpieczeństwa systemów ICS/SCADA. Scenariusz ataku wymaga wcześniejszego zdobycia danych uwierzytelniających urządzenia (stąd wysoka złożoność ataku AC:H w wektorze CVSS 4.0).