CWE-321

Advantech WISE-DeviceOn Server w wersjach wcześniejszych niż 5.4 zawiera statyczny, hardcoded klucz kryptograficzny HS512 używany do podpisywania tokenów JWT (EIRMMToken) we wszystkich instalacjach. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne sfałszowanie tokenu JWT i przejęcie dowolnego konta, w tym konta administratora root.

Urządzenia Azure-Access BLU-IC2 i BLU-IC4 wykorzystują te same, z góry osadzone sekrety (hardcoded secrets) do komunikacji przez interfejs SDKSocket (TCP/5000). Podatność otrzymała maksymalną ocenę CVSS 10.0, co czyni ją krytycznym zagrożeniem dla wszystkich wdrożeń tych urządzeń.

Vasion Print (dawniej PrinterLogic) Virtual Appliance zawiera nieudokumentowanego użytkownika 'printerlogic' z osadzonym na stałe kluczem publicznym SSH oraz regułą sudoers przyznającą dostęp NOPASSWD: ALL. Posiadacz pasującego klucza prywatnego uzyskuje pełny dostęp root do urządzenia bez żadnego dodatkowego uwierzytelnienia.

W systemach SIMATIC RTLS Locating Manager wykryto użycie symetrycznego szyfrowania z zakodowanym na stałe kluczem kryptograficznym do ochrony komunikacji między klientem a serwerem. Podatność o ocenie CVSS 10.0 umożliwia nieuwierzytelnionemu atakującemu zdalne naruszenie poufności, integralności i dostępności systemu.

Przełączniki Red Lion Controls Sixnet i Stride zawierają na stałe wbudowane klucze kryptograficzne SSL/SSH, których użytkownicy nie mogą zmienić ani wygenerować na nowo. Ponieważ wszystkie urządzenia korzystają z identycznych kluczy, atakujący może naruszyć bezpieczeństwo komunikacji w całej infrastrukturze przemysłowej.

GE Multilink ML800, ML1200, ML1600, and ML2400 switches with firmware 4.2.1 and earlier and Multilink ML810, ML3000, and ML3100 switches with firmware 5.2.0 and earlier use the same RSA private key across different customers' installations, which makes it easier for remote attackers to obtain the cleartext content of network traffic by reading this key from a firmware image and then sniffing the network.

Wybrane kamery IP marki Anpviz zawierają w firmware zakodowany na stałe klucz kryptograficzny (CWE-321). Podatność jest krytyczna, ponieważ atakujący z dostępem sieciowym może wykorzystać ten klucz do przejęcia kontroli nad urządzeniem lub przechwycenia komunikacji.

Szablon one-click do wdrożenia Zulip na platformie VPS.org zawiera zakodowany na stałe klucz podpisywania aplikacji, domyślne hasło do bazy danych ('zulip') oraz wyłączone HTTPS. Połączenie tych trzech błędów konfiguracyjnych tworzy krytyczne zagrożenie dla każdej instancji wdrożonej tym szablonem.

Quest KACE Systems Deployment Appliance (SDA) w wersji 11.0.273 używa zahardkodowanego symetrycznego klucza szyfrowania do ochrony sekretów w bazach MySQL, przy czym klucz ten jest identyczny dla każdej instalacji. Atakujący z dostępem do serwera MySQL lub pliku kopii zapasowej może odszyfrować przechowywane sekrety i eskalować uprawnienia lub uzyskać nieautoryzowany dostęp do powiązanych systemów.

Wersje PraisonAI Platform przed 0.1.4 zawierają hardkodowany sekret JWT o wartości "dev-secret-change-me", który jest domyślnie aktywny w każdej instalacji nieposiadającej jawnie ustawionej zmiennej środowiskowej PLATFORM_JWT_SECRET. Atakujący bez żadnego uwierzytelnienia może samodzielnie wygenerować prawidłowy token JWT i zalogować się jako dowolny użytkownik, w tym administrator lub właściciel przestrzeni roboczej.

Oprogramowanie urządzenia Small Cell Sercomm SCE4255W (FreedomFi Englewood) zawiera na stałe zakodowany klucz AES-256-CBC używany do szyfrowania kopii zapasowych konfiguracji. Zdalni uwierzytelnieni użytkownicy mogą odszyfrować, zmodyfikować i ponownie zaszyfrować konfigurację urządzenia, co prowadzi do przejęcia uprawnień.

RUCKUS Network Director (RND) w wersjach poniżej 4.5.0.56 zawiera zahardkodowane klucze SSH dla użytkownika postgres, identyczne we wszystkich wdrożeniach. Umożliwia to nieuwierzytelnionemu atakującemu zdalny dostęp do systemu bez znajomości hasła.

Podatność polega na przechowywaniu danych uwierzytelniających użytkowników przy użyciu szyfrowania AES-ECB z zakodowanym na stałe kluczem (hardcoded key). Nieuwierzytelniony zdalny atakujący, który uzyska dostęp do pliku konfiguracyjnego, może odszyfrować i odczytać plaintext nazwy użytkowników oraz hasła.

Bambuddy w wersjach przed 0.1.7 zawiera hardkodowany tajny klucz służący do podpisywania tokenów JWT, który jest jawnie umieszczony w kodzie źródłowym. Dodatkowo wiele tras API nie weryfikuje uwierzytelniania, co umożliwia atakującemu pełne przejęcie kontroli nad instancją bez posiadania jakichkolwiek poświadczeń.

W module Salesforce Marketing Cloud Engagement wykryto zahardkodowany klucz kryptograficzny (CWE-321), który umożliwia manipulację protokołami usług sieciowych. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją jedną z poważniejszych luk w tej platformie.

W oprogramowaniu Delta Electronics DIAView wykryto krytyczną podatność sklasyfikowaną jako CWE-321 (użycie zahardkodowanego klucza kryptograficznego). Podatność uzyskała najwyższy możliwy wynik CVSS 9.8, co oznacza poważne zagrożenie dla systemów przemysłowych korzystających z tego oprogramowania.

Apache StreamPark w wersjach 2.0.0–2.1.4 zawiera podatność polegającą na użyciu zakodowanego na stałe klucza szyfrowania. Atakujący może pozyskać ten klucz metodą inżynierii wstecznej lub analizy kodu, co umożliwia odszyfrowanie wrażliwych danych lub sfałszowanie zaszyfrowanych informacji prowadzące do nieautoryzowanego dostępu do systemu.

Aplikacja Flock Safety DetectionProcessing w wersji 6.35.33 dla systemu Android zawiera wbudowany plik Java Keystore (flock_rye.bks) wraz z zakodowanym na stałe hasłem (flockhibiki17) bezpośrednio w kodzie aplikacji. Keystore ten zawiera klucz prywatny, co stanowi krytyczne zagrożenie dla bezpieczeństwa urządzeń, na których aplikacja jest zainstalowana.

Plugin Copypress Rest API dla WordPress (wersje 1.1–1.2) zawiera hardkodowany klucz podpisujący tokeny JWT, co umożliwia nieuwierzytelnionemu atakującemu sfałszowanie prawidłowego tokenu i przesłanie dowolnego pliku na serwer. Prowadzi to bezpośrednio do zdalnego wykonania kodu (RCE) bez konieczności posiadania jakichkolwiek uprawnień.

Urządzenia Siklu Communications Etherhaul 8010TX i 1200FX zawierają hardkodowane, identyczne na wszystkich urządzeniach klucze AES w usłudze rfpiped nasłuchującej na porcie TCP 555. Atakujący zdalnie i bez uwierzytelnienia może wykonać dowolne polecenia systemowe, co czyni podatność krytyczną.