Use of hard-coded credentials vulnerability exists in STARDOM FCN Controller and FCJ Controller R4.10 to R4.31, which may allow an attacker

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• yokogawa stardom fcj firmwarer4.10 и новее · до r4.31 включительно
• yokogawa stardom fcn firmwarer4.10 и новее · до r4.31 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (jpcert). Не зависят от анализа CPE в NVD и обычно опережают его.

• Yokogawa Electric Corporation STARDOM Controller

  • STARDOM FCN Controller and FCJ Controller R4.10 to R4.31затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-29519Cleartext transmission of sensitive information vulnerability exists in STARDOM FCN Controller and FCJ Controller R1.01 to R4.31, which may
  30Наблюдать
• CVE-2023-5915A vulnerability of Uncontrolled Resource Consumption has been identified in STARDOM provided by Yokogawa Electric Corporation.
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Ради удобства поддержки или производства в ПО встраивается учётная запись, одинаковая на всех устройствах. Данные, полученные с одного устройства, действуют на всех.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const SUPPORT_USER = "support";2const SUPPORT_PASS = "zhestko-zadannyy-parol";

1const creds = await provisioning.deviceCredentials(deviceId);2if (creds.mustRotate) await forcePasswordChange(deviceId);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.