CVE-2016-10308
KrytyczneStreszczenie
Radia Siklu EtherHaul przed wersją 3.7.1 oraz 6.x przed wersją 6.9.0 posiadają wbudowane, ukryte konto root z niezmiennym hasłem, które jest identyczne dla wszystkich urządzeń. Konto to jest dostępne zarówno przez SSH, jak i przez interfejs webowy urządzenia, co umożliwia pełną kontrolę nad wbudowanym systemem operacyjnym Linux.
Ocena ryzyka
Obecność ukrytego konta root z niezmiennym hasłem stwarza poważne ryzyko dla bezpieczeństwa, ponieważ umożliwia nieautoryzowany dostęp do urządzeń i ich pełną kontrolę. Może to prowadzić do kompromitacji całej infrastruktury sieciowej.
Rekomendacja
Zaleca się aktualizację urządzeń do najnowszej wersji oprogramowania, aby usunąć to niebezpieczne konto. Dodatkowo, należy monitorować dostęp do urządzeń oraz wdrożyć dodatkowe środki zabezpieczające.
Oryginalny opis (angielski, źródło NVD)
Siklu EtherHaul radios before 3.7.1 and 6.x before 6.9.0 have a built-in, hidden root account, with an unchangeable password that is the same across all devices. This account is accessible via both SSH and the device's web interface and grants access to the underlying embedded Linux OS on the device, allowing full control over it.