CVE-2026-38059

WysokieCVSS 7.5

Opublikowano: 10/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Streszczenie

Podatność w iDirect iQ200 umożliwia nieuwierzytelnionemu atakującemu dostęp do wrażliwych informacji urządzenia przez endpointy API /api/identity i /api/. Atakujący może uzyskać numer seryjny, Device ID (DID), identyfikator klucza prywatnego terminala (TPK), adres MAC oraz dokładną wersję firmware'u.

Ocena ryzyka

Ryzyko polega na możliwości podszycia się pod terminal (impersonacji) oraz przeprowadzenia rekonesansu sieci satelitarnej, co może prowadzić do nieautoryzowanego dostępu do sieci i naruszenia integralności komunikacji.

Rekomendacja

Należy natychmiast wdrożyć uwierzytelnianie dla endpointów API /api/identity i /api/ oraz ograniczyć dostęp sieciowy do tych interfejsów tylko dla zaufanych hostów.

Inne podatności w iDirect iQ200

CVE-2026-38057Wysokie
Urządzenie iDirect iQ200 nie weryfikuje tokenów CSRF w punktach końcowych API zmieniających stan po uwierzytelnieniu. Punkt końcowy /api/reboot akceptuje żądania POST uwierzytelnione wyłącznie ciasteczkiem sesji bez atrybutu SameSite. Zdalny atakujący może hostować złośliwą stronę WWW, która po odwiedzeniu przez uwierzytelnionego administratora automatycznie wysyła żądanie POST, powodując natychmiastowy restart urządzenia i utratę łącza satelitarnego.

Oryginalny opis (angielski, źródło NVD)

The iDirect iQ200 exposes the /api/identity and /api/ REST API endpoints without authentication. An unauthenticated attacker with network access can retrieve sensitive device information including the serial number, Device ID (DID), Terminal Private Key identifier (TPK), MAC address, and exact firmware version. The DID and TPK are used for satellite network authentication in the iDirect platform, potentially enabling terminal impersonation and network reconnaissance.