CVE-2023-24051

Brak ograniczenia liczby prób po stronie klienta w Connectize AC21000 G6

CVSS 9.8v3.1pub. 2023-12-04upd. 2024-11-21

Router Connectize AC21000 G6 z firmware 641.139.1.1256 nie egzekwuje skutecznie limitu prób logowania po stronie serwera, co umożliwia atakującemu przeprowadzenie ataku brute force. Podatność jest oceniana jako krytyczna (CVSS 9.8), ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika, a jej wykorzystanie może prowadzić do przejęcia pełnej kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

A client side rate limit issue discovered in Connectize AC21000 G6 641.139.1.1256 allows attackers to gain escalated privileges via brute force style attacks.

🤖 Analiza AI

Jak działa

Mechanizm ograniczania liczby prób logowania (rate limiting) zaimplementowany jest wyłącznie po stronie klienta, co oznacza, że można go łatwo ominąć poprzez bezpośrednie wysyłanie żądań do urządzenia z pominięciem interfejsu webowego. Atakujący może w ten sposób przeprowadzić atak brute force na dane uwierzytelniające bez żadnego ograniczenia liczby prób. Brak skutecznej ochrony po stronie serwera klasyfikuje podatność zgodnie z CWE-307 (brak odpowiedniego ograniczenia prób uwierzytelnienia) oraz CWE-863 (nieprawidłowa autoryzacja).

Skutki

Atakujący może odgadnąć dane logowania i uzyskać podwyższone uprawnienia (privilege escalation) na urządzeniu, co w konsekwencji może oznaczać pełne przejęcie kontroli nad routerem, w tym możliwość modyfikacji konfiguracji sieci, przechwytywania ruchu sieciowego lub dalszego ataku na urządzenia w sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się zastosowanie silnych, unikalnych haseł do panelu administracyjnego oraz ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych adresów IP lub sieci lokalnej (np. przez firewall lub ACL).

Kogo dotyczy

Connectize AC21000 G6 z firmware w wersji 641.139.1.1256

Uwagi

Podatność została ujawniona w ramach doradztwa technicznego opublikowanego przez NCC Group w dniu 19 października 2023 roku, obejmującego wiele podatności (CVE-2023-24046 do CVE-2023-24051) w routerze Connectize G6 AC2100.