CVE-2024-8888

Brak wygasania tokenów sesji w Circutor Q-SMT Firmware 1.0.4

CVSS 10.0v3.1pub. 2024-09-18upd. 2024-10-01

Podatność w urządzeniu Circutor Q-SMT (firmware 1.0.4) polega na braku daty wygaśnięcia tokenów uwierzytelniających używanych w aplikacji webowej. Atakujący, który przechwyci taki token, uzyskuje nieograniczony i trwały dostęp do interfejsu webowego urządzenia.

▸ Pokaż oryginał (EN)

An attacker with access to the network where CIRCUTOR Q-SMT is located in its firmware version 1.0.4, could steal the tokens used on the web, since these have no expiration date to access the web application without restrictions. Token theft can originate from different methods such as network captures, locally stored web information, etc.

🤖 Analiza AI

Jak działa

Tokeny sesji generowane przez aplikację webową urządzenia Circutor Q-SMT nie posiadają mechanizmu wygasania (brak expiration date), co jest niezgodne z bezpiecznymi praktykami zarządzania sesjami (CWE-613). Atakujący z dostępem do sieci, w której znajduje się urządzenie, może przechwycić token różnymi metodami — np. poprzez podsłuch ruchu sieciowego (network capture) lub odczyt danych przechowywanych lokalnie przez przeglądarkę. Po zdobyciu tokenu może go wielokrotnie i bezterminowo wykorzystywać do uwierzytelniania się w aplikacji webowej bez potrzeby znajomości hasła.

Skutki

Atakujący posiadający skradziony token uzyskuje pełny, nieograniczony czasowo dostęp do interfejsu webowego urządzenia, co może prowadzić do ujawnienia poufnych danych konfiguracyjnych, modyfikacji ustawień urządzenia oraz potencjalnego zakłócenia jego pracy.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się segmentację sieci OT/IT oraz ograniczenie dostępu do interfejsu webowego urządzenia wyłącznie do zaufanych hostów poprzez reguły firewall.

Kogo dotyczy

Circutor Q-SMT z firmware w wersji 1.0.4

Uwagi

Podatność zgłoszona i opublikowana przez INCIBE-CERT (hiszpańskie centrum reagowania na incydenty). Wektor CVSS 10.0 wynika z braku wymagań dotyczących uwierzytelnienia, ataku sieciowego oraz pełnego wpływu na poufność, integralność i dostępność z przełamaniem zakresu (Scope: Changed).