Wybrane przełączniki sieciowe PLANET Technology posiadają krytyczną podatność braku kontroli dostępu (CWE-306) w funkcji wgrywania i pobierania firmware. Nieuwierzytelniony zdalny atakujący może pobrać i wgrać dowolny firmware oraz konfigurację systemową, uzyskując pełną kontrolę nad urządzeniem.
▸ Pokaż oryginał (EN)
Certain switch models from PLANET Technology lack proper access control in firmware upload and download functionality, allowing unauthenticated remote attackers to download and upload firmware and system configurations, ultimately gaining full control of the devices.
Podatność wynika z braku wymagania jakiegokolwiek uwierzytelnienia podczas wykonywania operacji upload i download firmware oraz konfiguracji systemowej. Atakujący zdalnie, bez podawania danych logowania, może pobrać aktualną konfigurację urządzenia (zawierającą potencjalnie dane wrażliwe) lub wgrać zmodyfikowany firmware. Przesłanie spreparowanego firmware pozwala na trwałe przejęcie urządzenia.
Atakujący może uzyskać pełną kontrolę nad urządzeniem sieciowym — w tym odczytać jego konfigurację, zmodyfikować firmware oraz trwale przejąć kontrolę nad przełącznikiem. Może to prowadzić do naruszenia poufności, integralności i dostępności całej sieci obsługiwanej przez to urządzenie.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się izolację interfejsu zarządzania urządzeń od nieautoryzowanych sieci oraz ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP poprzez firewall lub dedykowaną sieć zarządzania (out-of-band management).
Przełączniki sieciowe PLANET Technology: GS-4210-24P2S (wraz z firmware) oraz GS-4210-24PL4C (wraz z firmware) — konkretne wersje firmware wskazane w referencjach producenta.
Podatność zgłoszona i opublikowana przez TWCERT/CC (Taiwan Computer Emergency Response Team / Coordination Center). Szczegółowe informacje dostępne w serwisie TWCERT pod identyfikatorem opublikowanym 2024-09-30.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HPlanet Gs 4210 24p2s
HWPlanet3.0Planet Gs 4210 24p2s Firmware
OSPlanet< 3.305b240802Planet Gs 4210 24pl4c
HWPlanet2.0Planet Gs 4210 24pl4c Firmware
OSPlanet< 2.305b240719
Powiązane podatności
Certain switch models from PLANET Technology have a hard-coded credential in the specific command-line interfa...
Certain switch models from PLANET Technology have a Hard-coded community string in the SNMPv1 service, allowin...
Certain switch models from PLANET Technology have an SSH service that improperly handles insufficiently authen...
Certain switch models from PLANET Technology only support obsolete algorithms for authentication protocol and ...
The swctrl service is used to detect and remotely manage PLANET Technology devices. For certain switch models,...