CVE-2022-50696

Statyczne dane uwierzytelniające (login i hasło) są wbudowane bezpośrednio w binarne pliki serwera i nie mogą zostać zmienione w ramach normalnej eksploatacji urządzenia. Atakujący posiadający wiedzę o tych kredencjalach może zalogować się do urządzenia zdalnie przez sieć, omijając całkowicie mechanizmy kontroli dostępu. Podatność dotyczy zarówno środowisk Linux, jak i Windows, a do jej wykorzystania nie jest wymagana żadna interakcja ze strony ofiary ani uwierzytelnienie wstępne.

Atakujący może uzyskać pełny nieuprawniony dostęp do urządzenia, co może prowadzić do przejęcia kontroli nad nim, naruszenia poufności i integralności przetwarzanych danych oraz potencjalnego zakłócenia jego działania.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również izolację sieciową urządzeń SOUND4 (np. umieszczenie za firewall, ograniczenie dostępu sieciowego wyłącznie do zaufanych hostów) do czasu wdrożenia aktualizacji.

SOUND4 IMPACT, SOUND4 FIRST, SOUND4 PULSE, SOUND4 Eco — wersje 2.x i niższe (w tym warianty firmware dla Sound4 Pulse Eco, Sound4 Big Voice2, Sound4 Big Voice4)

Szczegóły techniczne podatności zostały opublikowane przez ZeroScience Lab jako ZSL-2022-5729 oraz udostępnione w serwisie Packet Storm Security. Dostępny jest publiczny proof-of-concept.