CVE-2025-6519

Przewidywalne hasło domyślnego konta administratora w Copeland Site Supervisor

CVSS 9.3v4.0pub. 2025-09-02upd. 2025-10-10

Urządzenia Copeland Site Supervisor z firmware poniżej wersji 2.31F01 posiadają wbudowane konto administratora 'ONEDAY' z hasłem generowanym codziennie według przewidywalnego algorytmu. Atakujący może samodzielnie odtworzyć aktualne hasło i uzyskać pełny dostęp administracyjny bez znajomości żadnych poświadczeń.

▸ Pokaż oryginał (EN)

E3 Site Supervisor (firmware version < 2.31F01) has a default admin user "ONEDAY" with a daily generated password. An attacker can predictably generate the password for ONEDAY. The oneday user cannot be deleted or modified by any user.

🤖 Analiza AI

Jak działa

Konto użytkownika 'ONEDAY' jest domyślnie obecne w firmware urządzenia i nie może zostać usunięte ani zmodyfikowane przez żadnego administratora. Hasło do tego konta jest generowane dynamicznie każdego dnia, jednak algorytm jego generowania jest przewidywalny, co pozwala atakującemu obliczyć aktualne hasło bez dostępu do urządzenia. Podatność klasyfikowana jest jako CWE-522 (Insufficiently Protected Credentials), ponieważ mechanizm ochrony poświadczeń jest niewystarczający.

Skutki

Atakujący z dostępem sieciowym do urządzenia może zalogować się jako administrator i przejąć pełną kontrolę nad urządzeniem, modyfikować konfigurację oraz potencjalnie wpływać na zarządzane systemy przemysłowe (np. systemy chłodnicze). Konta 'ONEDAY' nie można usunąć, co uniemożliwia trwałe wyeliminowanie zagrożenia bez aktualizacji firmware.

Mitygacja

Należy zaktualizować firmware do wersji 2.31F01 lub nowszej zgodnie z referencjami producenta. Do czasu aktualizacji zaleca się izolację urządzeń od sieci publicznych, ograniczenie dostępu sieciowego wyłącznie do zaufanych hostów oraz monitorowanie prób logowania na konto 'ONEDAY'.

Kogo dotyczy

Copeland Site Supervisor CXE (860-1265), CX (860-1260), RX (860-1220), BXE (860-1245) oraz BX (860-1240) z firmware w wersji poniżej 2.31F01

Uwagi

Podatność opisana w badaniu opublikowanym przez Armis Security pod nazwą 'FrostByte10' (https://www.armis.com/research/frostbyte10/). Konto 'ONEDAY' jest trwale wbudowane w firmware i nie może zostać usunięte ani zmodyfikowane przez żadnego użytkownika, co znacznie utrudnia tymczasowe obejście problemu bez aktualizacji oprogramowania.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X