[SCI] Múltiples vulnerabilitats en productes InHand Networks

Introducción

Roni Gavrilov d’Otorio[1], ha reportat 5 vulnerabilitats, una de severitat crítica, dues altes i dues mitjanes, que afecten InRouter de l’empresa InHand Networks[2].  L’explotació amb èxit d’aquestes vulnerabilitats podria permetre la divulgació d’informació confidencial en text sense xifrar, la injecció d’ordres del sistema operatiu, l’ús d’un hash unidireccional amb un salt predictible, el control d’accés inadequat i l’ús de valors insuficientment aleatoris.

 

Anàlisi

A la vulnerabilitat crítica se li ha assignat el següent identificador:

CVE-2022-22600: La vulnerabilitat crítica permet que un atacant no autoritzat que conegui el nom del tema existent del protocol MQTT podria enviar i rebre missatges. Això inclou la capacitat d’enviar ordres de configuració GET/SET, de reinici i actualitzacions de firmware.

Per a la resta de vulnerabilitats s’han assignat els identificadors: CVE-2022-22597, CVE-2022-22601, CVE-2022-22599 y CVE-2022-22598.

 

Recomanacions

Es recomana als usuaris que actualitzin el microprogramari del dispositiu afectat a la versió més recent.

 

Referències

[1] OTORIO | Industrial CyberSecurity
[2] InHand Networks