CVE-2017-15304
KrytyczneStreszczenie
W panelu internetowym urządzenia Airtame HDMI z firmware przed wersją 3.0, atakujący może ustawić własny identyfikator sesji za pomocą nagłówka 'Cookie: PHPSESSID='. Może to prowadzić do uzyskania trwałego dostępu do panelu administracyjnego, nawet po zmianie hasła administratora.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do panelu administracyjnego, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty kontroli nad urządzeniem.
Rekomendacja
Zaleca się aktualizację firmware'u urządzenia do wersji 3.0 lub nowszej, aby zlikwidować tę podatność.
Oryginalny opis (angielski, źródło NVD)
/bin/login.php in the Web Panel on the Airtame HDMI dongle with firmware before 3.0 allows an attacker to set his own session id via a "Cookie: PHPSESSID=" header. This can be used to achieve persistent access to the admin panel even after an admin password change.