Podatność w oprogramowaniu Kunbus RevPi Status umożliwia nieuwierzytelnionemu atakującemu zdalne ominięcie mechanizmu uwierzytelnienia wskutek nieprawidłowej konwersji typów danych. Skutkuje to pełnym przejęciem kontroli nad urządzeniem.
▸ Pokaż oryginał (EN)
An unauthorized remote attacker can bypass the authentication of the affected software package by misusing an incorrect type conversion. This leads to full compromise of the device
Błąd polega na niepoprawnej konwersji typów (CWE-704) w logice uwierzytelnienia oprogramowania. Zdalny atakujący bez żadnych uprawnień może nadużyć tej nieprawidłowości, aby ominąć weryfikację tożsamości i uzyskać nieautoryzowany dostęp do urządzenia. Atak nie wymaga interakcji użytkownika ani szczególnych warunków sieciowych — wystarczy sieciowy dostęp do podatnego systemu.
Atakujący uzyskuje pełny, nieautoryzowany dostęp do urządzenia, co skutkuje naruszeniem poufności, integralności i dostępności — czyli całkowitym kompromitacją systemu.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.kunbus.com/en/productsecurity/Kunbus-2025-0000003). Do czasu wdrożenia poprawki zalecane jest ograniczenie sieciowego dostępu do urządzeń RevPi Status poprzez segmentację sieci lub firewall.
Kunbus RevPi Status — wersje wskazane w referencjach producenta
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HKunbus Revpi Status
APPKunbus< 2.4.6
Powiązane podatności
PR100088 Modbus gateway versions prior to Release R02 (or Software Version 1.1.13166) may allow an attacker to...
Registers used to store Modbus values can be read and written from the web interface without authentication in...
An attacker could retrieve passwords from a HTTP GET request from the Kunbus PR100088 Modbus gateway versions ...
An attacker could retrieve plain-text credentials stored in a XML file on PR100088 Modbus gateway versions pri...
An attacker could specially craft an FTP request that could crash the PR100088 Modbus gateway versions prior t...