CVE-2026-35019
WysokieCVSS 8.1Streszczenie
Routery NetComm NF20MESH działające na oprogramowaniu R6B031 i wcześniejszym zawierają lukę w autoryzacji, która pozwala nieautoryzowanym atakującym uzyskać dostęp administracyjny poprzez wykorzystanie wbudowanego klucza AES-256 do szyfrowania ciasteczek sesyjnych w interfejsie zarządzania. Atakujący mogą sfałszować ważne zaszyfrowane ciasteczko sesyjne, omijając kontrole autoryzacji.
Ocena ryzyka
Luka ta stwarza poważne zagrożenie dla bezpieczeństwa, umożliwiając atakującym pełną kontrolę nad interfejsem zarządzania, co może prowadzić do nieautoryzowanych zmian w konfiguracji routera oraz potencjalnych ataków na sieć lokalną.
Rekomendacja
Zaleca się aktualizację oprogramowania routerów do wersji nowszej niż R6B031, aby usunąć tę lukę. Dodatkowo, warto rozważyć zmianę domyślnych ustawień bezpieczeństwa oraz monitorowanie aktywności w interfejsie zarządzania.
Oryginalny opis (angielski, źródło NVD)
NetComm NF20MESH routers running firmware R6B031 and earlier contain an authentication bypass vulnerability that allows unauthenticated attackers to gain administrative access by exploiting a hardcoded AES-256 key used to encrypt session cookies for the web management interface. Attackers can forge a valid encrypted session cookie using the shared hardcoded key and bypass authentication checks to obtain full administrative control of the management interface while any legitimate administrator session is active.