CVE-2025-1100

Q-Free MaxTime: zakodowane hasło root umożliwia zdalny RCE przez SSH

CVSS 9.8v3.1pub. 2025-02-12upd. 2025-10-24

W systemie Q-Free MaxTime w wersji 2.11.0 i wcześniejszych wykryto zakodowane na stałe hasło dla konta root (CWE-259). Podatność pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu z uprawnieniami administratora root poprzez SSH.

▸ Pokaż oryginał (EN)

A CWE-259 "Use of Hard-coded Password" for the root account in Q-Free MaxTime less than or equal to version 2.11.0 allows an unauthenticated remote attacker to execute arbitrary code with root privileges via SSH.

🤖 Analiza AI

Jak działa

Podatność wynika z zastosowania przez producenta stałego, zakodowanego na stałe hasła dla konta root w oprogramowaniu Q-Free MaxTime. Ponieważ hasło jest identyczne we wszystkich instalacjach produktu i nie podlega zmianie przez użytkownika, atakujący posiadający wiedzę o tym haśle może uwierzytelnić się do usługi SSH bez żadnych dodatkowych uprawnień. Po zalogowaniu uzyskuje pełną kontrolę nad systemem z najwyższymi uprawnieniami.

Skutki

Atakujący uzyskuje nieograniczony dostęp do systemu z uprawnieniami root, co umożliwia wykonanie dowolnego kodu, modyfikację lub usunięcie danych, instalację złośliwego oprogramowania oraz przejęcie pełnej kontroli nad urządzeniem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do portu SSH wyłącznie do zaufanych adresów IP na poziomie firewall oraz monitorowanie prób logowania przez SSH do momentu wdrożenia poprawki.

Kogo dotyczy

Q-Free MaxTime w wersji 2.11.0 oraz wszystkich wcześniejszych wersjach.

Uwagi

Podatność została zgłoszona przez Nozomi Networks Labs. Advisory dostępne pod adresem: https://www.nozominetworks.com/labs/vulnerability-advisories-cve-2025-1100