PT-2022-9222 · Sealevel Systems · Seaconnect 370W

Francesco Benvenuto + 1 · Publicado 2022-02-04 · Atualizado 2023-06-30 · CVE-2021-21968

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sealevel Systems, Inc. SeaConnect 370W versão 1.3.34

Descrição

Existe uma falha na gravação de arquivos na funcionalidade da tarefa de atualização OTA. Isso pode ser desencadeado por uma carga MQTT especialmente criada, permitindo a sobrescrita arbitrária de arquivos. Um invasor pode explorar essa vulnerabilidade realizando um ataque man-in-the-middle.

Recomendações

Para a versão 1.3.34, considere restringir o acesso à funcionalidade da tarefa de atualização OTA até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o protocolo MQTT para atualizações ou certifique-se de que todas as comunicações MQTT sejam criptografadas e autenticadas para impedir ataques man-in-the-middle.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2021-21968

Produtos afetados

Seaconnect 370W

Referências · 4

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2021-1395 · Exploit
• https://t.me/cvenotify/26548 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21968 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21968 · Aviso do Fabricante