CVE-2024-23486

Buffalo WSR-2533DHP — hasło przechowywane w postaci jawnej (plaintext)

CVSS 9.8v3.1pub. 2024-04-15upd. 2025-06-30

Routery bezprzewodowe Buffalo z serii WSR-2533DHP przechowują hasła w postaci niezaszyfrowanej (plaintext). Osoba nieuprawniona mająca dostęp sieciowy do strony logowania urządzenia może pozyskać skonfigurowane dane uwierzytelniające.

▸ Pokaż oryginał (EN)

Plaintext storage of a password issue exists in BUFFALO wireless LAN routers, which may allow a network-adjacent unauthenticated attacker with access to the product's login page may obtain configured credentials.

🤖 Analiza AI

Jak działa

Podatność (CWE-256) polega na tym, że firmware routera przechowuje hasło dostępu w postaci jawnego tekstu, bez szyfrowania ani odpowiedniego zabezpieczenia. Atakujący znajdujący się w sieci sąsiadującej z urządzeniem i mający dostęp do strony logowania może odczytać te dane uwierzytelniające bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika.

Skutki

Atakujący może uzyskać dostęp do skonfigurowanych danych logowania, co w praktyce oznacza możliwość przejęcia pełnej kontroli administracyjnej nad routerem oraz potencjalny dostęp do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.buffalo.jp/news/detail/20240410-01.html). Zaleca się również ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych hostów oraz unikanie wystawiania panelu administracyjnego na zewnętrzne interfejsy sieciowe.