CVE-2023-33379
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Connected IO w wersji 2.1.0 i wcześniejszych ma błędną konfigurację w swoim brokerze MQTT, który jest używany do zarządzania i komunikacji z urządzeniami. To pozwala urządzeniom na łączenie się z brokerem i wydawanie poleceń innym urządzeniom, podszywając się pod platformę zarządzania Connected IO.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane polecenia wydawane przez urządzenia, co może prowadzić do poważnych problemów z bezpieczeństwem i integralnością systemu. Potencjalne ataki mogą wpłynąć na wszystkie urządzenia Connected IO w sieci.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Connected IO oraz przegląd konfiguracji brokera MQTT w celu zabezpieczenia komunikacji między urządzeniami. Należy również wdrożyć dodatkowe mechanizmy uwierzytelniania i autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Connected IO v2.1.0 and prior has a misconfiguration in their MQTT broker used for management and device communication, which allows devices to connect to the broker and issue commands to other device, impersonating Connected IO management platform and sending commands to all of Connected IO's devices.