CVE-2023-53739
KrytyczneStreszczenie
Tinycontrol LAN Controller v3 LK3 w wersji 1.58a zawiera podatność bez uwierzytelniania, która pozwala zdalnym atakującym na pobranie plików kopii zapasowej konfiguracji zawierających wrażliwe poświadczenia. Atakujący mogą pobrać plik lk3_settings.bin i wyodrębnić zakodowane w base64 hasła użytkownika i administratora bez uwierzytelniania.
Ocena ryzyka
Ryzyko dla organizacji to ujawnienie poufnych poświadczeń, co może prowadzić do nieautoryzowanego dostępu do systemu i dalszych ataków.
Rekomendacja
Zaleca się natychmiastową zmianę wszystkich haseł, ograniczenie dostępu do urządzenia oraz zastosowanie aktualizacji od producenta, jeśli jest dostępna.
Oryginalny opis (angielski, źródło NVD)
Tinycontrol LAN Controller v3 LK3 version 1.58a contains an unauthenticated vulnerability that allows remote attackers to download configuration backup files containing sensitive credentials. Attackers can retrieve the lk3_settings.bin file and extract base64-encoded user and admin passwords without authentication.