Vulnerabilidades en el software Hongdian Router H8951-4G-ESP
| ID CVE | CVE-2023-49253 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Uso de credenciales codificadas (CWE-798) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49254 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Inyección de comandos del sistema operativo (CWE-78) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49255 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Autenticación faltante para función crítica (CWE-306) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49256 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Uso de credenciales codificadas (CWE-798) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49257 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Asignación de permiso incorrecta para recurso crítico (CWE-732) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49258 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Secuencias de comandos entre sitios (CWE-79) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49259 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Uso de un algoritmo criptográfico defectuoso o riesgoso (CWE-327) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49260 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Secuencias de comandos entre sitios (CWE-79) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49261 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Exposición de información confidencial a un actor no autorizado (CWE-200) |
| Fuente del informe | Informe al CERT Polonia |
| ID CVE | CVE-2023-49262 |
| Fecha de publicación | 12 de enero de 2024 |
| Proveedor | hongdiano |
| Producto | H8951-4G-ESP |
| Versiones vulnerables | antes de construir 2310271149 |
| Tipo de vulnerabilidad (CWE) | Autenticación incorrecta (CWE-287) |
| Fuente del informe | Informe al CERT Polonia |
Descripción
CERT Polska recibió un informe sobre vulnerabilidades en el firmware del enrutador celular 4G Hongdian (H8951-4G-ESP) y participó en la coordinación de su divulgación.
la vulnerabilidad CVE-2023-49253 es una contraseña de root predefinida. La contraseña del usuario raíz está codificada en el dispositivo y no se puede cambiar en la interfaz de usuario.
la vulnerabilidad CVE-2023-49254 permite al usuario autenticado ejecutar comandos arbitrarios en el contexto del usuario raíz proporcionando carga útil en el campo «destino» de las herramientas de prueba de red. Esto es similar a la vulnerabilidad CVE-2021-28151 Mitigado en el nivel de la interfaz de usuario al incluir caracteres en la lista negra con JavaScript; sin embargo, aún se puede explotar enviando solicitudes POST directamente.
la vulnerabilidad CVE-2023-49255 permite acceder a la consola del enrutador sin autenticación. Se puede acceder a la consola del enrutador sin autenticación en el campo «datos» y, si bien es necesario que un usuario inicie sesión para modificar la configuración, el estado de la sesión se comparte. Si algún otro usuario ha iniciado sesión actualmente, el usuario anónimo puede ejecutar comandos en el contexto del usuario autenticado.
la vulnerabilidad CVE-2023-49256 permite descargar la copia de seguridad de la configuración sin autorización y descifrar las contraseñas incluidas utilizando una clave estática codificada.
la vulnerabilidad CVE-2023-49257 permite al usuario autenticado cargar un archivo arbitrario compatible con CGI utilizando la utilidad de carga de certificados y ejecutarlo con privilegios de usuario raíz.
la vulnerabilidad CVE-2023-49258 son secuencias de comandos entre sitios (XSS) ubicadas en «/gui/terminal_tool.cgi» en el parámetro «datos».
la vulnerabilidad CVE-2023-49259 permite aplicar fuerza bruta a las cookies de autenticación, que se generan utilizando un algoritmo débil basado en el nombre de usuario, el secreto codificado y el tiempo de actividad.
la vulnerabilidad CVE-2023-49260 permite cambiar el banner MOTD y realizar un ataque XSS.
la vulnerabilidad CVE-2023-49261 permite tomar el valor «tokenKey» del código fuente HTML de la página de inicio de sesión.
la vulnerabilidad CVE-2023-49262 permite omitir el mecanismo de autenticación desbordando el valor del campo «autenticación» de Cookie, siempre que haya una sesión de usuario activa.
El fabricante, Hongdian Company, eliminó las vulnerabilidades en la versión (build) 2310271149, lo cual fue confirmado por el periodista.
Créditos
Agradecemos a Robert Pogorzelski de la empresa SEQRED por el informe de vulnerabilidad responsable.
Puede encontrar más información sobre el proceso coordinado de divulgación de vulnerabilidades en CERT Polska en https://cert.pl/es/cvd/.