CVE-2021-37292
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0 istnieje niezabezpieczone konto backdoor, które umożliwia nieautoryzowany dostęp z najwyższymi uprawnieniami administratora. Luka wynika z braku kontroli dostępu i obecności ukrytego konta.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad systemem BEMS, co prowadzi do naruszenia integralności danych, zakłócenia działania infrastruktury budynku oraz potencjalnego wykorzystania systemu do dalszych ataków.
Rekomendacja
Należy natychmiast zmienić domyślne hasła, usunąć lub wyłączyć konto backdoor oraz wdrożyć silne mechanizmy uwierzytelniania wieloskładnikowego. Zaleca się również aktualizację oprogramowania do najnowszej wersji.
Inne podatności w KevinLAB Inc Building Energy Management System 4ST BEMS
Zobacz wszystkie- CVE-2021-37291Krytyczne
Podatność SQL Injection w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wstrzyknąć złośliwe zapytania SQL przez parametr input_id w żądaniu POST do pliku index.php.
- CVE-2021-37293Średnie
Podatność typu Directory Traversal w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wykorzystać parametr 'page' w pliku index.php do odczytu dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
An Access Control vulnerability exists in KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0 due to an undocumented backdoor account. A malicious user can log in using the backdor account with admin highest privileges and obtain system control.