CVE-2024-38902

H3C Magic R230 — zakodowane na stałe hasło root w /etc/shadow

CVSS 9.8v3.1pub. 2024-06-24upd. 2025-05-27

W urządzeniu H3C Magic R230 w wersji V100R002 odkryto zakodowane na stałe hasło (hardcoded password) w pliku /etc/shadow, co umożliwia atakującemu zalogowanie się jako użytkownik root. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

H3C Magic R230 V100R002 was discovered to contain a hardcoded password vulnerability in /etc/shadow, which allows attackers to log in as root.

🤖 Analiza AI

Jak działa

Firmware urządzenia H3C Magic R230 V100R002 zawiera stałe, z góry zdefiniowane hasło zapisane w pliku /etc/shadow odpowiedzialnym za przechowywanie danych uwierzytelniających systemowych użytkowników. Atakujący, który zna lub odkryje to hasło (np. poprzez analizę obrazu firmware), może wykorzystać je do zalogowania się na konto root bezpośrednio na urządzeniu. Ponieważ hasło jest identyczne we wszystkich egzemplarzach urządzenia z tą wersją oprogramowania, kompromis jednego urządzenia pozwala na atak na wszystkie inne urządzenia z tą wersją firmware.

Skutki

Atakujący uzyskuje pełny dostęp administracyjny (root) do urządzenia, co umożliwia przejęcie nad nim całkowitej kontroli, modyfikację konfiguracji sieci, instalację złośliwego oprogramowania oraz potencjalne wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako doraźne działanie zaleca się odizolowanie urządzenia od publicznego dostępu sieciowego, wyłączenie zbędnych usług zdalnego dostępu oraz monitorowanie prób logowania na konto root.

Kogo dotyczy

H3C Magic R230 z oprogramowaniem firmware w wersji V100R002

Uwagi

Szczegółowy raport dotyczący podatności został opublikowany w repozytorium GitHub przez badacza s4ndw1ch136 w ramach serii raportów o podatnościach urządzeń IoT H3C.