Introducció
L’investigador Moritz Abrell de SySS GmbH ha reportat a CERT@VDE, en coordinació amb Red Lion Europe, 7 vulnerabilitats sent 2 d’elles de severitat crítica, que afecten diversos productes de MB Connect Line GmbH. L’explotació d’estes vulnerabilitats podria provocar accés, no autoritzat, a arxius o execució remota de codi.[1]
Anàlisi
Les vulnerabilitats crítiques trobades són les següents:
- CVE-2024-45274 – Absència d’autenticació per a una funció crítica (CWE-306):
Un atacant remot no autenticat pot executar comandos del sistema operatiu a través de UDP en el dispositiu degut a la falta d’autenticació. - CVE-2024-45275 – Credencials embegudes en el software (CWE-798):
Els dispositius contenen dos comptes d’usuari codificades amb contrasenyes codificades que permeten a un atacant remot no autenticat tindre control total dels dispositius afectats.
- CVE-2024-45274 – Absència d’autenticació per a una funció crítica (CWE-306):
La sèrie de productes afectats és:
- mbNET.mini versions 2.2.13 i anteriors
Recomanacions
Actualitzar mbNET.mini a la versió 2.3.1.
Referencias
[1] VDE-2024-056 – MB connect line: Multiple Vulnerabilities in mbNET.mini Product