CVE-2024-6425

MESbook — nieautoryzowana rejestracja kont użytkowników przez API

CVSS 9.1v3.1pub. 2024-07-01upd. 2025-10-22

Podatność w systemie MESbook 20221021.03 umożliwia nieuwierzytelnionemu atakującemu zdalne tworzenie nowych kont użytkowników bez żadnej autoryzacji. Jest to poważne zagrożenie, ponieważ pozwala na przejęcie kontroli nad procesem zarządzania tożsamością w systemie klasy MES.

▸ Pokaż oryginał (EN)

Incorrect Provision of Specified Functionality vulnerability in MESbook 20221021.03 version. An unauthenticated remote attacker can register user accounts without being authenticated from the route "/account/Register/" and in the parameters "UserName=<RANDOMUSER>&Password=<PASSWORD>&ConfirmPassword=<PASSWORD-REPEAT>".

🤖 Analiza AI

Jak działa

Endpoint '/account/Register/' nie wymaga uwierzytelnienia ani żadnej formy weryfikacji uprawnień. Atakujący może wysłać żądanie sieciowe z parametrami 'UserName', 'Password' oraz 'ConfirmPassword', co skutkuje utworzeniem nowego konta w systemie. Mechanizm rejestracji został nieprawidłowo zaimplementowany — brakuje kontroli dostępu, która powinna ograniczać tę funkcję wyłącznie do uprawnionych administratorów.

Skutki

Atakujący może zarejestrować dowolną liczbę kont użytkowników w systemie, co może prowadzić do nieautoryzowanego dostępu do danych produkcyjnych oraz modyfikacji konfiguracji systemu MES. W połączeniu z innymi podatnościami może to umożliwić pełne przejęcie kontroli nad środowiskiem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się zablokowanie dostępu do endpointu '/account/Register/' na poziomie firewall lub reverse proxy oraz ograniczenie dostępu sieciowego do systemu MESbook wyłącznie do zaufanych sieci wewnętrznych.

Kogo dotyczy

MESbook w wersji 20221021.03

Uwagi

Podatność została zgłoszona przez INCIBE-CERT (hiszpańskie centrum cyberbezpieczeństwa) jako część zestawu wielu podatności w systemie MESbook. System MESbook jest oprogramowaniem klasy MES (Manufacturing Execution System), stosowanym w środowiskach przemysłowych OT/ICS.