CVE-2026-33389
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W funkcji Smart Polling odkryto podatność polegającą na nieprawidłowej walidacji certyfikatu/klucza hosta. Połączenia szyfrowane z urządzeniami docelowymi były nawiązywane bez weryfikacji tożsamości zdalnego hosta i nie było możliwości włączenia tej weryfikacji. Atakujący typu man-in-the-middle może podszyć się pod urządzenie podczas sesji odpytywania i przechwycić komunikację, w tym poświadczenia dostępu.
Ocena ryzyka
Przechwycone poświadczenia mogą zostać użyte do uwierzytelnienia na urządzeniu lub innych urządzeniach z tymi samymi poświadczeniami, umożliwiając atakującemu dostęp, manipulację danymi i zakłócenie działania urządzeń.
Rekomendacja
Zaleca się wdrożenie poprawki dostarczonej przez producenta, która dodaje walidację tożsamości hosta oraz umożliwia jej włączenie w konfiguracji.
Inne podatności w Smart Polling
Oryginalny opis (angielski, źródło NVD)
An improper certificate/host key validation vulnerability was discovered in the Smart Polling functionality, which established encrypted connections to target devices without validating the remote host's identity, and no option was provided to enable it. A man-in-the-middle attacker positioned between a sensor and a polled device can, during a polling session, impersonate the device and intercept the communication, including the credentials used to access it. The captured credentials can then be replayed to authenticate against the device itself or against other devices sharing the same credentials, allowing the attacker to access and tamper with the device's data and to disrupt its operations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS