CVE-2024-33625

CyberPower PowerPanel: zakodowany klucz JWT umożliwia ominięcie uwierzytelnienia

CVSS 9.8v3.1pub. 2024-05-15upd. 2025-08-04

Aplikacja CyberPower PowerPanel Business zawiera zakodowany na stałe klucz podpisywania tokenów JWT. Umożliwia to zdalnemu atakującemu sfałszowanie tokenów JWT i ominięcie mechanizmu uwierzytelnienia bez znajomości jakichkolwiek poświadczeń.

▸ Pokaż oryginał (EN)

CyberPower PowerPanel business application code contains a hard-coded JWT signing key. This could result in an attacker forging JWT tokens to bypass authentication.

🤖 Analiza AI

Jak działa

W kodzie aplikacji PowerPanel Business zaszytych jest na stałe sekret używany do podpisywania tokenów JWT (JSON Web Token). Ponieważ klucz ten jest identyczny we wszystkich instalacjach oprogramowania, atakujący który go odkryje może samodzielnie generować i podpisywać dowolne tokeny JWT. Tak spreparowany token zostanie zaakceptowany przez aplikację jako prawidłowy, co pozwala na uzyskanie dostępu do chronionych zasobów bez posiadania konta.

Skutki

Atakujący może uzyskać nieautoryzowany, pełny dostęp do aplikacji PowerPanel Business, potencjalnie przejmując kontrolę nad zarządzanymi systemami zasilania UPS oraz wrażliwymi danymi konfiguracyjnymi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Aktualizację można pobrać ze strony CyberPower: https://www.cyberpower.com/global/en/product/sku/powerpanel_business_for_windows#downloads. Zaleca się również ograniczenie dostępu sieciowego do interfejsu aplikacji wyłącznie do zaufanych hostów.

Kogo dotyczy

CyberPower PowerPanel Business (wersje wskazane w referencjach producenta i doradztwie CISA ICS-CERT ICSA-24-123-01)

Uwagi

Podatność opisana w doradztwie CISA ICS-CERT o numerze ICSA-24-123-01, opublikowanym 2 maja 2024 r. Dotyczy systemów przemysłowych (ICS) zarządzających infrastrukturą zasilania.