CVE-2023-33372
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Connected IO w wersji 2.1.0 i wcześniejszych używa twardo zakodowanej pary nazwy użytkownika i hasła w oprogramowaniu urządzenia do komunikacji za pomocą MQTT. Atakujący, który uzyska dostęp do tych danych, może łączyć się z brokerem MQTT i wysyłać wiadomości w imieniu urządzeń, podszywając się pod nie.
Ocena ryzyka
Dostęp do twardo zakodowanych poświadczeń umożliwia atakującym podpisywanie dowolnych tokenów sesyjnych JWT, co pozwala na ominięcie uwierzytelnienia i potencjalne przejęcie kontroli nad urządzeniami.
Rekomendacja
Zaleca się usunięcie twardo zakodowanych poświadczeń z oprogramowania oraz wdrożenie bezpieczniejszych metod uwierzytelniania dla komunikacji MQTT.
Oryginalny opis (angielski, źródło NVD)
Connected IO v2.1.0 and prior uses a hard-coded username/password pair embedded in their device's firmware used for device communication using MQTT. An attacker who gained access to these credentials is able to connect to the MQTT broker and send messages on behalf of devices, impersonating them. in order to sign and verify JWT session tokens, allowing attackers to sign arbitrary session tokens and bypass authentication.