Siber güvenlik araştırmacıları, Planet Technology’nin WGS-804HPT endüstriyel anahtarlarında, hassas cihazlarda kimlik doğrulama öncesi uzaktan kod yürütmeyi sağlamak için zincirlenebilecek üç güvenlik açığını ortaya çıkardı.
Claroty’den Tomer Goldschmidt Perşembe günü yayınlanan bir raporda, “Bu anahtarlar bina ve ev otomasyon sistemlerinde çeşitli ağ uygulamaları için yaygın olarak kullanılıyor.” dedi. “Bu cihazlardan birini uzaktan kontrol edebilen bir saldırgan, bunları dahili bir ağdaki cihazlardan daha fazla yararlanmak ve yanal hareket yapmak için kullanabilir.”
QEMU çerçevesini kullanarak bu anahtarlarda kullanılan donanım yazılımı üzerinde kapsamlı bir analiz gerçekleştiren operasyonel teknoloji güvenlik firması, güvenlik açıklarının bir web hizmeti sağlamak için kullanılan dispatcher.cgi arayüzünden kaynaklandığını söyledi. Kusurların listesi aşağıdadır –
- CVE-2024-52558 (CVSS puanı: 5,3) – Kimliği doğrulanmamış bir saldırganın hatalı biçimlendirilmiş bir HTTP isteği göndermesine izin vererek çökmeye neden olabilecek bir tamsayı taşma kusuru
- CVE-2024-52320 (CVSS puanı: 9,8) – Kimliği doğrulanmamış bir saldırganın, kötü amaçlı bir HTTP isteği aracılığıyla komutlar göndermesine olanak tanıyan ve uzaktan kod yürütülmesine neden olabilen bir işletim sistemi komut ekleme hatası
- CVE-2024-48871 (CVSS puanı: 9,8) – Kimliği doğrulanmamış bir saldırganın kötü amaçlı bir HTTP isteği göndermesine izin vererek uzaktan kod yürütülmesine neden olabilen yığın tabanlı bir arabellek taşması kusuru
Kusurların başarıyla kullanılması, bir saldırganın HTTP isteğine bir kabuk kodu yerleştirerek yürütme akışını ele geçirmesine ve işletim sistemi komutlarını yürütme yeteneği kazanmasına olanak tanıyabilir.
Sorumlu açıklamanın ardından Tayvanlı şirket, 15 Kasım 2024’te yayınlanan 1.305b241111 sürümüyle eksikliklere yönelik yamalar yayınladı.