CVE-2017-12928
KrytyczneStreszczenie
W TecnoVISION DLX Spot Player4 (wszystkie znane wersje) występuje twardo zakodowane hasło 'tecn0visi0n' dla konta dlxuser, co umożliwia zdalnym atakującym logowanie się przez SSH.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do systemu z uprawnieniami roota, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się zmianę hasła dla konta dlxuser oraz ograniczenie dostępu do SSH tylko dla zaufanych adresów IP.
Inne podatności w TecnoVISION DLX Spot Player4
Zobacz wszystkie- CVE-2017-12929Wysokie
W TecnoVISION DLX Spot Player4 w wersji >1.5.10 występuje podatność na nieautoryzowane przesyłanie plików w pliku resource.php, co pozwala zdalnym uwierzytelnionym użytkownikom na przesyłanie dowolnych plików, prowadząc do zdalnego wykonania poleceń.
- CVE-2017-12930Krytyczne
W interfejsie administracyjnym TecnoVISION DLX Spot Player4 w wersji >1.5.10 występuje podatność na atak typu SQL Injection, która pozwala zdalnym, nieautoryzowanym użytkownikom uzyskać dostęp do interfejsu webowego jako administrator przy użyciu spreparowanego hasła.
Oryginalny opis (angielski, źródło NVD)
A hard-coded password of tecn0visi0n for the dlxuser account in TecnoVISION DLX Spot Player4 (all known versions) allows remote attackers to log in via SSH and escalate privileges to root access with the same credentials.