CWE-321

Advantech WISE-DeviceOn Server w wersjach wcześniejszych niż 5.4 zawiera statyczny, hardcoded klucz kryptograficzny HS512 używany do podpisywania tokenów JWT (EIRMMToken) we wszystkich instalacjach. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne sfałszowanie tokenu JWT i przejęcie dowolnego konta, w tym konta administratora root.

Urządzenia Azure-Access BLU-IC2 i BLU-IC4 wykorzystują te same, z góry osadzone sekrety (hardcoded secrets) do komunikacji przez interfejs SDKSocket (TCP/5000). Podatność otrzymała maksymalną ocenę CVSS 10.0, co czyni ją krytycznym zagrożeniem dla wszystkich wdrożeń tych urządzeń.

Vasion Print (dawniej PrinterLogic) Virtual Appliance zawiera nieudokumentowanego użytkownika 'printerlogic' z osadzonym na stałe kluczem publicznym SSH oraz regułą sudoers przyznającą dostęp NOPASSWD: ALL. Posiadacz pasującego klucza prywatnego uzyskuje pełny dostęp root do urządzenia bez żadnego dodatkowego uwierzytelnienia.

W systemach SIMATIC RTLS Locating Manager wykryto użycie symetrycznego szyfrowania z zakodowanym na stałe kluczem kryptograficznym do ochrony komunikacji między klientem a serwerem. Podatność o ocenie CVSS 10.0 umożliwia nieuwierzytelnionemu atakującemu zdalne naruszenie poufności, integralności i dostępności systemu.

A hard-coded cryptographic key vulnerability was identified in Red Lion Controls Sixnet-Managed Industrial Switches running firmware Version 5.0.196 and Stride-Managed Ethernet Switches running firmware Version 5.0.190. Vulnerable versions of Stride-Managed Ethernet switches and Sixnet-Managed Industrial switches use hard-coded HTTP SSL/SSH keys for secure communication. Because these keys cannot be regenerated by users, all products use the same key. The attacker could disrupt communication or compromise the system. CVSS v3 base score: 10, CVSS vector string: (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Red Lion Controls recommends updating to SLX firmware Version 5.3.174.

GE Multilink ML800, ML1200, ML1600, and ML2400 switches with firmware 4.2.1 and earlier and Multilink ML810, ML3000, and ML3100 switches with firmware 5.2.0 and earlier use the same RSA private key across different customers' installations, which makes it easier for remote attackers to obtain the cleartext content of network traffic by reading this key from a firmware image and then sniffing the network.

Wybrane kamery IP marki Anpviz zawierają w firmware zakodowany na stałe klucz kryptograficzny (CWE-321). Podatność jest krytyczna, ponieważ atakujący z dostępem sieciowym może wykorzystać ten klucz do przejęcia kontroli nad urządzeniem lub przechwycenia komunikacji.

Oprogramowanie urządzenia Small Cell Sercomm SCE4255W (FreedomFi Englewood) zawiera na stałe zakodowany klucz AES-256-CBC używany do szyfrowania kopii zapasowych konfiguracji. Zdalni uwierzytelnieni użytkownicy mogą odszyfrować, zmodyfikować i ponownie zaszyfrować konfigurację urządzenia, co prowadzi do przejęcia uprawnień.

RUCKUS Network Director (RND) w wersjach poniżej 4.5.0.56 zawiera zahardkodowane klucze SSH dla użytkownika postgres, identyczne we wszystkich wdrożeniach. Umożliwia to nieuwierzytelnionemu atakującemu zdalny dostęp do systemu bez znajomości hasła.

Podatność polega na przechowywaniu danych uwierzytelniających użytkowników przy użyciu szyfrowania AES-ECB z zakodowanym na stałe kluczem (hardcoded key). Nieuwierzytelniony zdalny atakujący, który uzyska dostęp do pliku konfiguracyjnego, może odszyfrować i odczytać plaintext nazwy użytkowników oraz hasła.

Bambuddy w wersjach przed 0.1.7 zawiera hardkodowany tajny klucz służący do podpisywania tokenów JWT, który jest jawnie umieszczony w kodzie źródłowym. Dodatkowo wiele tras API nie weryfikuje uwierzytelniania, co umożliwia atakującemu pełne przejęcie kontroli nad instancją bez posiadania jakichkolwiek poświadczeń.

W module Salesforce Marketing Cloud Engagement wykryto zahardkodowany klucz kryptograficzny (CWE-321), który umożliwia manipulację protokołami usług sieciowych. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją jedną z poważniejszych luk w tej platformie.

W oprogramowaniu Delta Electronics DIAView wykryto krytyczną podatność sklasyfikowaną jako CWE-321 (użycie zahardkodowanego klucza kryptograficznego). Podatność uzyskała najwyższy możliwy wynik CVSS 9.8, co oznacza poważne zagrożenie dla systemów przemysłowych korzystających z tego oprogramowania.

Apache StreamPark w wersjach 2.0.0–2.1.4 zawiera podatność polegającą na użyciu zakodowanego na stałe klucza szyfrowania. Atakujący może pozyskać ten klucz metodą inżynierii wstecznej lub analizy kodu, co umożliwia odszyfrowanie wrażliwych danych lub sfałszowanie zaszyfrowanych informacji prowadzące do nieautoryzowanego dostępu do systemu.

Aplikacja Flock Safety DetectionProcessing w wersji 6.35.33 dla systemu Android zawiera wbudowany plik Java Keystore (flock_rye.bks) wraz z zakodowanym na stałe hasłem (flockhibiki17) bezpośrednio w kodzie aplikacji. Keystore ten zawiera klucz prywatny, co stanowi krytyczne zagrożenie dla bezpieczeństwa urządzeń, na których aplikacja jest zainstalowana.

Plugin Copypress Rest API dla WordPress (wersje 1.1–1.2) zawiera hardkodowany klucz podpisujący tokeny JWT, co umożliwia nieuwierzytelnionemu atakującemu sfałszowanie prawidłowego tokenu i przesłanie dowolnego pliku na serwer. Prowadzi to bezpośrednio do zdalnego wykonania kodu (RCE) bez konieczności posiadania jakichkolwiek uprawnień.

Urządzenia Siklu Communications Etherhaul 8010TX i 1200FX zawierają hardkodowane, identyczne na wszystkich urządzeniach klucze AES w usłudze rfpiped nasłuchującej na porcie TCP 555. Atakujący zdalnie i bez uwierzytelnienia może wykonać dowolne polecenia systemowe, co czyni podatność krytyczną.

W backendzie interfejsu egOS WebGUI zastosowano statycznie zakodowany klucz tajny JWT, który jest dostępny do odczytu dla domyślnego użytkownika systemu. Nieuwierzytelniony zdalny atakujący może wygenerować własne, poprawne tokeny JWT i całkowicie ominąć mechanizmy uwierzytelniania oraz autoryzacji.

Aplikacja Reolink w wersji v4.54.0.4.20250526 zawiera zakodowany na stałe klucz szyfrowania AES oraz wektor inicjalizacyjny (IV). Podatność umożliwia atakującemu odszyfrowanie tokenów dostępu i tokenów sesji webowej przechowywanych w aplikacji.

Dpanel, panel do wizualizacji i zarządzania kontenerami Docker, zawiera w domyślnej konfiguracji zakodowany na stałe sekret JWT. Atakujący może go odkryć analizując kod źródłowy, a następnie sfałszować prawidłowe tokeny JWT i uzyskać pełną kontrolę nad hostem bez żadnych uprawnień.