CVE-2017-17877
KrytyczneStreszczenie
W urządzeniu Valve Steam Link w wersji 643 odkryto problem związany z dostępnością demona SSH. Gdy demon SSH jest włączony dla lokalnego rozwoju, urządzenie jest domyślnie dostępne publicznie przez port TCP 22 w IPv6, co ułatwia zdalnym atakującym uzyskanie dostępu poprzez odgadnięcie 24 bitów adresu MAC i próbę logowania jako root.
Ocena ryzyka
Dostępność demona SSH w publicznej sieci stwarza poważne ryzyko dla bezpieczeństwa, umożliwiając zdalnym atakującym potencjalne przejęcie kontroli nad urządzeniem.
Rekomendacja
Zaleca się wyłączenie demona SSH, jeśli nie jest on potrzebny, lub zastosowanie odpowiednich środków zabezpieczających, takich jak ograniczenie dostępu do zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Valve Steam Link build 643. When the SSH daemon is enabled for local development, the device is publicly available via IPv6 TCP port 22 over the internet (with stateless address autoconfiguration) by default, which makes it easier for remote attackers to obtain access by guessing 24 bits of the MAC address and attempting a root login. This can be exploited in conjunction with CVE-2017-17878.