CVE-2021-37292
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0 istnieje niezabezpieczone konto backdoor, które umożliwia nieautoryzowany dostęp z najwyższymi uprawnieniami administratora. Luka wynika z braku kontroli dostępu i obecności ukrytego konta.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad systemem BEMS, co prowadzi do naruszenia integralności danych, zakłócenia działania infrastruktury budynku oraz potencjalnego wykorzystania systemu do dalszych ataków.
Rekomendacja
Należy natychmiast zmienić domyślne hasła, usunąć lub wyłączyć konto backdoor oraz wdrożyć silne mechanizmy uwierzytelniania wieloskładnikowego. Zaleca się również aktualizację oprogramowania do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
An Access Control vulnerability exists in KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0 due to an undocumented backdoor account. A malicious user can log in using the backdor account with admin highest privileges and obtain system control.