CVE-2023-49262

Pominięcie uwierzytelnienia przez przepełnienie pola Cookie w Hongdian H8951-4G-Esp

CVSS 9.8v3.1pub. 2024-01-12upd. 2025-06-03

Podatność w oprogramowaniu Hongdian H8951-4G-Esp umożliwia ominięcie mechanizmu uwierzytelnienia poprzez przepełnienie wartości pola Cookie o nazwie "authentication". Jest to krytyczna luka, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika, a może prowadzić do pełnego przejęcia kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

The authentication mechanism can be bypassed by overflowing the value of the Cookie "authentication" field, provided there is an active user session.

🤖 Analiza AI

Jak działa

Atakujący wysyła do urządzenia żądanie HTTP z celowo przepełnioną wartością pola Cookie "authentication", co powoduje błąd przepełnienia liczby całkowitej (CWE-190). W wyniku tego przepełnienia mechanizm uwierzytelnienia (CWE-287) zostaje obejścia, pod warunkiem że w danym momencie istnieje aktywna sesja innego użytkownika. Pozwala to napastnikowi na dostęp do chronionych zasobów bez znajomości prawidłowych poświadczeń.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do interfejsu zarządzania urządzeniem z pełnymi uprawnieniami, co może skutkować ujawnieniem poufnych danych konfiguracyjnych, modyfikacją ustawień sieciowych lub całkowitym przejęciem urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako dodatkowe środki zaradcze zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniem wyłącznie do zaufanych sieci oraz monitorowanie aktywnych sesji użytkowników.