Podatności Ciena Navigator Network Control Suite

Ciena Navigator Network Control Suite (NCS) zawiera podatność polegającą na ujawnieniu informacji w API strumieniowania zdarzeń, które nie egzekwuje prawidłowo uwierzytelniania. Nieuwierzytelniony atakujący z dostępem sieciowym do usługi może uzyskać dostęp do strumienia zdarzeń i potencjalnie uzyskać poufne informacje.

Podatność umożliwia ominięcie uwierzytelniania w produktach Ciena Navigator NCS, MCP i Blue Planet z powodu nieprawidłowego przetwarzania ścieżek i nagłówków żądań HTTP. Nieuwierzytelniony atakujący może manipulować żądaniami, aby ominąć mechanizmy uwierzytelniania i audytu.

W pakietach oprogramowania Ciena Navigator Network Control Suite (NCS) i Manage Control Plan (MCP) wykryto ukryte konta systemowe z domyślnymi, przewidywalnymi hasłami. Konta te mają bardzo ograniczone uprawnienia, ale mogą zostać wykorzystane przez atakującego w połączeniu z innymi słabościami do eskalacji uprawnień w systemie.