CVE-2023-51947

Brak uwierzytelnienia w nasSvr.php urządzeń actidata actiNAS SL 2U-8 RDX

CVSS 9.1v3.1pub. 2024-01-19upd. 2026-07-05

Podatność w oprogramowaniu actidata actiNAS SL 2U-8 RDX 3.2.03-SP1 umożliwia nieuwierzytelnionemu atakującemu zdalne odczytywanie i modyfikowanie danych przechowywanych na urządzeniu. Ze względu na brak jakiegokolwiek mechanizmu uwierzytelnienia w pliku nasSvr.php, podatność jest łatwa do wykorzystania i niesie poważne ryzyko naruszenia poufności oraz integralności danych.

▸ Pokaż oryginał (EN)

Improper access control on nasSvr.php in actidata actiNAS SL 2U-8 RDX 3.2.03-SP1 allows remote attackers to read and modify different types of data without authentication.

🤖 Analiza AI

Jak działa

Plik nasSvr.php obsługujący funkcje serwera NAS nie wymaga żadnego uwierzytelnienia przed wykonaniem operacji na danych. Atakujący może bezpośrednio wysyłać żądania HTTP do tego endpointu z sieci, bez potrzeby posiadania poświadczeń. W ten sposób uzyskuje dostęp do różnych typów danych oraz może je dowolnie modyfikować. Podatność klasyfikowana jest jako CWE-306 (Missing Authentication for Critical Function).

Skutki

Atakujący może bez uwierzytelnienia odczytywać wrażliwe dane przechowywane na urządzeniu NAS oraz je modyfikować, co prowadzi do naruszenia poufności i integralności przechowywanych informacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu sieciowego do panelu zarządzania urządzenia poprzez reguły firewall, aby uniemożliwić nieautoryzowanym podmiotom dostęp do interfejsu administracyjnego.