CVE-2026-7786
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W oprogramowaniu sprzętowym konwertera USR-W610 RS232/485 firmy Jinan USR IOT Technology Limited (PUSR) znaleziono jawne (niezaszyfrowane) dane uwierzytelniające administratora. Poświadczenia te można wyodrębnić poprzez analizę obrazu firmware'u i wykorzystać do uwierzytelnienia w usługach urządzenia.
Ocena ryzyka
Atakujący, który uzyska dostęp do obrazu firmware'u (np. poprzez pobranie go ze strony producenta lub przechwycenie aktualizacji), może odczytać hasło administratora i przejąć pełną kontrolę nad urządzeniem. Może to prowadzić do naruszenia poufności i integralności danych przesyłanych przez konwerter oraz umożliwić dalsze ataki w sieci lokalnej.
Rekomendacja
Należy natychmiast zmienić domyślne hasło administratora na silne, unikalne hasło. Producent powinien wydać aktualizację firmware'u usuwającą jawne poświadczenia i stosującą bezpieczne przechowywanie haseł (np. hash z solą). Do czasu aktualizacji zaleca się ograniczenie dostępu do urządzenia tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Jinan USR IOT Technology Limited (PUSR) USR-W610 RS232/485 to Wi-Fi/Ethernet Converter device firmware contains plaintext administrative credentials embedded in the firmware image. These credentials can be extracted through firmware analysis and used to authenticate to device services.