CVE-2026-26369

Privilege escalation w eNet SMART HOME Server przez metodę setUserGroup

CVSS 9.3v4.0pub. 2026-02-15upd. 2026-02-28

Serwer eNet SMART HOME w wersjach 2.2.1 oraz 2.3.1 zawiera podatność umożliwiającą privilege escalation z powodu niewystarczającej weryfikacji autoryzacji w metodzie JSON-RPC setUserGroup. Zagrożenie jest krytyczne, ponieważ pozwala nisko uprzywilejowanemu użytkownikowi na samodzielne nadanie sobie uprawnień administratora bez żadnej dodatkowej interakcji ze strony innych użytkowników.

▸ Pokaż oryginał (EN)

eNet SMART HOME server 2.2.1 and 2.3.1 contains a privilege escalation vulnerability due to insufficient authorization checks in the setUserGroup JSON-RPC method. A low-privileged user (UG_USER) can send a crafted POST request to /jsonrpc/management specifying their own username to elevate their account to the UG_ADMIN group, bypassing intended access controls and gaining administrative capabilities such as modifying device configurations, network settings, and other smart home system functions.

🤖 Analiza AI

Jak działa

Atakujący zalogowany jako użytkownik grupy UG_USER wysyła spreparowane żądanie HTTP POST na endpoint /jsonrpc/management, wywołując metodę setUserGroup i podając jako parametr własną nazwę użytkownika oraz docelową grupę UG_ADMIN. Serwer nie przeprowadza właściwej weryfikacji, czy wywołujący ma uprawnienia do zmiany przynależności grupowej konta, przez co zmiana zostaje zaakceptowana. W efekcie konto zostaje przeniesione do grupy administratorów, omijając zaplanowane mechanizmy kontroli dostępu.

Skutki

Atakujący uzyskuje pełne uprawnienia administracyjne w systemie smart home, co pozwala mu na modyfikację konfiguracji urządzeń, ustawień sieciowych oraz innych funkcji systemu. Może to prowadzić do przejęcia kontroli nad całą infrastrukturą inteligentnego budynku.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do endpointu /jsonrpc/management wyłącznie do zaufanych adresów IP oraz minimalizację liczby aktywnych kont użytkowników w systemie.

Kogo dotyczy

eNet SMART HOME Server w wersjach 2.2.1 oraz 2.3.1 firmy Jung-Group

Uwagi

Podatność została szczegółowo opisana przez ZeroScience Lab (identyfikator ZSL-2026-5975) oraz VulnCheck. Wektor ataku sieciowy bez wymaganych uprawnień wstępnych (PR:N) oraz bez konieczności interakcji użytkownika (UI:N) znacząco podnosi ryzyko masowego wykorzystania.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X