CVE-2023-53739

Atakujący bez żadnego uwierzytelnienia może zdalnie pobrać plik konfiguracyjny lk3_settings.bin bezpośrednio z urządzenia. Plik ten zawiera hasła użytkownika oraz administratora zakodowane w Base64 — kodowanie to nie stanowi żadnej formy szyfrowania i jest trywialnie odwracalne. Podatność wpisuje się w kategorię CWE-260 (Password in Configuration File), gdzie wrażliwe dane uwierzytelniające przechowywane są w sposób niedostatecznie zabezpieczony i dostępny bez autoryzacji.

Atakujący uzyskuje pełne dane dostępowe (hasła użytkownika i administratora) do kontrolera, co umożliwia przejęcie pełnej kontroli nad urządzeniem oraz potencjalnie nad sterowaną przez nie infrastrukturą sieciową lub przemysłową.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek zaradczy należy niezwłocznie ograniczyć dostęp sieciowy do urządzenia wyłącznie do zaufanych hostów (np. przez firewall lub segmentację sieci) oraz zmienić hasła administratora i użytkownika po wdrożeniu aktualizacji.

Tinycontrol LAN Controller v3 LK3 w wersji 1.58a

Dla tej podatności dostępny jest publiczny exploit opublikowany w Exploit-DB (exploits/51731). Podatność została zgłoszona przez ZeroScience Lab (ZSL-2023-5786).