CVE-2024-6684

Atakujący może ominąć mechanizm uwierzytelnienia poprzez alternatywną ścieżkę lub kanał dostępu (Authentication Bypass Using an Alternate Path or Channel). Oznacza to, że istnieje możliwość uzyskania dostępu do chronionych zasobów lub funkcji urządzenia bez podawania prawidłowych poświadczeń. Podatność jest dostępna zdalnie, bez wymaganej interakcji użytkownika i bez konieczności posiadania jakichkolwiek uprawnień.

Atakujący może uzyskać nieautoryzowany dostęp do funkcji panelu, potencjalnie przejmując kontrolę nad urządzeniem oraz powiązaną z nim infrastrukturą. Ze względu na wysokie wartości CVSS w obszarze poufności, integralności i dostępności zarówno systemu, jak i zasobów zewnętrznych, skutki kompromitacji mogą być bardzo poważne.

Producent potwierdził, że produkt nie jest wspierany i nie zostaną wydane żadne patche. Zaleca się natychmiastowe odizolowanie urządzeń od sieci publicznej (np. przez firewall lub segmentację sieci), ograniczenie dostępu do nich wyłącznie do zaufanych sieci lokalnych oraz rozważenie wymiany urządzeń na aktywnie wspierane zamienniki.

GST Electronics inohom Nova Panel N7 we wszystkich wersjach oprogramowania do 1.9.9.6 włącznie.

Producent (GST Electronics) potwierdził, że produkt inohom Nova Panel N7 nie jest objęty wsparciem technicznym — nie należy oczekiwać poprawki bezpieczeństwa. Podatność zgłoszona przez tureckie USOM (TR-24-1194).