CVE-2026-38057
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Urządzenie iDirect iQ200 nie weryfikuje tokenów CSRF w punktach końcowych API zmieniających stan po uwierzytelnieniu. Punkt końcowy /api/reboot akceptuje żądania POST uwierzytelnione wyłącznie ciasteczkiem sesji bez atrybutu SameSite. Zdalny atakujący może hostować złośliwą stronę WWW, która po odwiedzeniu przez uwierzytelnionego administratora automatycznie wysyła żądanie POST, powodując natychmiastowy restart urządzenia i utratę łącza satelitarnego.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku CSRF prowadzącego do restartu urządzenia i przerwania łączności satelitarnej. Powtarzane ataki mogą spowodować trwałą odmowę usługi (DoS), zakłócając działanie sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe urządzenia iDirect iQ200 do wersji zawierającej mechanizm ochrony CSRF. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych sieci oraz stosowanie dodatkowych zabezpieczeń, takich jak weryfikacja nagłówka Origin.
Inne podatności w iDirect iQ200
Zobacz wszystkie- CVE-2026-38058Wysokie
Endpoint terminala VSAT iDirect iQ200 zwraca pełną konfigurację urządzenia w formacie JSON, w tym sekcję SECURITY zawierającą hashe haseł MD5-crypt dla kont root SSH oraz administracji webowej. Każdy użytkownik z ważnymi poświadczeniami webowymi może wyodrębnić te hashe i złamać je offline przy użyciu powszechnie dostępnego sprzętu.
- CVE-2026-38056Wysokie
W terminalu VSAT iDirect iQ200 z firmware 23.0.1.0 występuje lokalna podatność na podniesienie uprawnień. Urządzenie jest fabrycznie wyposażone w wbudowane konto lokalne o niskich uprawnieniach, przeznaczone dla techników terenowych, które zapewnia początkowy dostęp wymagany do wykorzystania podatności — nie trzeba zdobywać ani łamać żadnych dodatkowych poświadczeń.
- CVE-2026-38059Wysokie
Podatność w iDirect iQ200 umożliwia nieuwierzytelnionemu atakującemu dostęp do wrażliwych informacji urządzenia przez endpointy API /api/identity i /api/. Atakujący może uzyskać numer seryjny, Device ID (DID), identyfikator klucza prywatnego terminala (TPK), adres MAC oraz dokładną wersję firmware'u.
Oryginalny opis (angielski, źródło NVD)
The iDirect iQ200 does not validate CSRF tokens on state-changing API endpoints after authentication. The /api/reboot endpoint accepts POST requests authenticated solely by a session cookie that lacks the SameSite attribute. A remote attacker can host a malicious web page that, when visited by an authenticated administrator, automatically submits a cross-site POST request causing an immediate device reboot and satellite link loss. Repeated attacks can sustain a denial-of-service condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS