PT-2020-12031 · Mavlink · Mavlink
None
·
Publicado
2020-07-03
·
Atualizado
2020-10-23
·
CVE-2020-10282
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
MAVLink versão 1.0
Descrição
O protocolo Micro Air Vehicle Link (MAVLink) não possui um mecanismo de autenticação na versão 1.0, o que leva a possíveis ataques, como falsificação de identidade, acesso não autorizado e ataques PITM. A versão 2.0 permite, opcionalmente, a assinatura de pacotes, o que mitiga esse problema. No entanto, o sistema de autenticação na versão 2.0 é baseado em HMAC e requer o uso da mesma chave simétrica em todos os dispositivos da rede. Se um dispositivo e sua chave simétrica forem comprometidos, todo o sistema de autenticação pode se tornar não confiável.
Recomendações
Para a versão 1.0 do MAVLink, considere atualizar para a versão 2.0 para utilizar o recurso opcional de assinatura de pacotes, o que pode ajudar a mitigar a falta de autenticação.
Para a versão 2.0 do MAVLink, certifique-se de que a mesma chave simétrica seja usada em todos os dispositivos da rede para manter a confiabilidade do sistema de autenticação.
Como solução temporária, restrinja o acesso à rede para minimizar o risco de exploração.
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Mavlink