Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Hainbat ahultasun ENTTEC argi kontrolatzaileetan

Argitalpen data: 2020/06/26

Garrantzia: Handia

Kaltetutako baliabideak:

Ahultasun horiek 70044 firmwarearen 05032019-482 eguneraketari eta lehenagokoei eragiten die, ondoko produktuen kasuan: 

  • Datagate Mk2,
  • Storm 24,
  • Pixelator,
  • E-Streamer Mk2.

Azalpena:

Argi kontrolatzaileek dituzten hainbat ahultasun argitaratu dira. Horiek baliatuz, erasotzaile batek gailuetara baimendu gabeko SSH/SCP sarbidea lor lezake, asmo gaiztoko kodea injektatu, komandoak exekutatu root pribilegioekin, edo sistemaren direktorioetan fitxategiak irakurri, idatzi edo exekutatu beste edozein erabiltzailek bezala.

Konponbidea:

ENTTECek ez du oraindik inolako eguneraketarik argitaratu. Gailuak firewall-en eta sare kontrol egokien atzean kokatzea gomendatzen du, eta Internetetik sarbiderik ez izatea.

Xehetasuna:

  • Root erabiltzaile modura urruneko SSH eta SCP sarbiderako pasahitz barneratuak egotea. Ahultasun horretarako CVE-2019-12776 identifikatzailea erabili da.
  • ENTTEC-en Datagate Mk2 web konfigurazioaren softwareak duen gordetako XSS erako hainbat ahultasun baliatuz, autentifikatu gabeko erasotzaile batek asmo gaiztoko kodea injekta lezake aplikazioan zuzenean. Ahultasun horretarako CVE-2019-12774 identifikatzailea erabili da.
  • Argi kontrolatzaileek root modura pribilegio altuko sarbidea ahalbidetzen dute sudoren gaitasunaren bidez, sarbide kontrol egoki bat eskatu gabe. Ahultasun horretarako CVE-2019-12775 identifikatzailea erabili da.
  • Sistemak azpiko sistema eragilearen baimenak ordezkatzen ditu, batere seguruak ez diren irakurketa, idazketa eta exekuzio baimenekin erabiltzaile guztientzat. Ahultasun horretarako CVE-2019-12777 identifikatzailea erabili da.

Etiketak: Azpiegitura kritikoak, Ahultasuna