PT-2022-18986 · Verizon · Verizon 5G Home Lvskihp Outdoorunit
Publicado
2022-07-14
·
Atualizado
2022-07-21
·
CVE-2022-28377
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Verizon 5G Home LVSKIHP Unidade Interna (IDU) versão 3.4.66.162
Verizon 5G Home LVSKIHP Unidade Externa (ODU) versão 3.33.101.0
Descrição
O problema diz respeito ao uso de um nome de usuário e senha estáticos para controle de acesso nos terminais RPC do CRTC e do ODU. Essa senha pode ser gerada usando um binário incluído no firmware, obtendo-se o endereço MAC da interface Ethernet base do IDU e modificando o arquivo /etc/device info para incluir a string
DEVICE MANUFACTURER=‘Wistron NeWeb Corp.’. O endpoint vulnerável está relacionado ao arquivo /etc/init.d/wnc factoryssidkeypwd na IDU.Recomendações
Para a Verizon 5G Home LVSKIHP InDoorUnit (IDU) versão 3.4.66.162, considere desativar o acesso aos endpoints CRTC e ODU RPC até que uma correção esteja disponível.
Para a Verizon 5G Home LVSKIHP OutDoorUnit (ODU) versão 3.33.101.0, restrinja o acesso ao endpoint RPC da ODU para minimizar o risco de exploração.
Como solução alternativa temporária, evite usar o nome de usuário e a senha da conta estática para controle de acesso nos dispositivos afetados até que o problema seja resolvido.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Verizon 5G Home Lvskihp Outdoorunit