CVE-2025-41733

Metz-Connect Ewio2: brak uwierzytelnienia przy ustawianiu hasła root

CVSS 9.8v3.1pub. 2025-11-18upd. 2025-11-21

Kreator uruchomienia (commissioning wizard) w urządzeniach Metz-Connect Ewio2 nie sprawdza, czy urządzenie zostało już wcześniej skonfigurowane. Umożliwia to nieuwierzytelnionemu atakującemu zdalne nadpisanie poświadczeń konta root poprzez spreparowane żądania POST.

▸ Pokaż oryginał (EN)

The commissioning wizard on the affected devices does not validate if the device is already initialized. An unauthenticated remote attacker can construct POST requests to set root credentials.

🤖 Analiza AI

Jak działa

Podatność wynika z braku weryfikacji stanu inicjalizacji urządzenia w mechanizmie commissioning wizard (CWE-305: Authentication Bypass by Primary Weakness). Atakujący może wysłać odpowiednio skonstruowane żądania HTTP POST bezpośrednio do endpointu kreatora, nawet jeśli urządzenie zostało już wcześniej skonfigurowane. W efekcie możliwe jest ustawienie dowolnych poświadczeń dla konta root bez żadnego uprzedniego uwierzytelnienia. Atak nie wymaga interakcji użytkownika ani znajomości istniejących danych dostępowych.

Skutki

Atakujący uzyskuje pełną kontrolę administracyjną nad urządzeniem poprzez przejęcie konta root, co prowadzi do naruszenia poufności, integralności i dostępności systemu oraz danych przezeń przetwarzanych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://certvde.com/de/advisories/VDE-2025-097). Do czasu wdrożenia poprawki zaleca się izolację urządzeń od sieci publicznych, ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych hostów oraz monitoring nieautoryzowanych żądań POST do endpointów kreatora konfiguracji.

Kogo dotyczy

Urządzenia Metz-Connect Ewio2-BM, Ewio2-M-BM oraz Ewio2-M wraz z odpowiadającymi im wersjami firmware — konkretne wersje wskazane w referencjach producenta (VDE-2025-097).