В проекторах InFocus обнаружены бреши, позволяющие обойти аутентификацию

Исследователи безопасности компании Core Security  выявили  бреши в сетевых проекторах InFocus, позволяющих неавторизованному пользователю получить доступ к конфигурационным файлам и web-интерфейсу устройств. Хотя специалисты протестировали только модель InFocus IN3128HD с версией прошивки 0.26, не исключено, что уязвимости затрагивают и другие версии. 

Одна из брешей (CVE-2014-8383) позволяет обойти аутентификацию. Как поясняют эксперты, обычно конфигурационные изменения выполняются при помощи web-интерфейса устройства, который защищен паролем. Однако в этом случае при входе пользователя в систему идентификационный механизм только проводит проверку правильности пароля без генерации сеансовых файлов cookie. Таким образом злоумышленник может обойти страницу авторизации и получить доступ к web-интерфейсу напрямую. В результате в руках неавторизованного пользователя может оказаться приватная информация, в том числе сведения о конфигурациях сети и Wi-Fi (включая пароль). При этом права администратора позволяют преступнику модифицировать любой из параметров.

Вторая уязвимость (CVE-2014-8384) связана с ошибкой аутентификации при доступе к конфигурационному файлу webctrl.cgi.elf. Получив доступ к этому файлу, злоумышленник может выполнить конфигурационные изменения на устройстве, в том числе подкорректировать параметры DHCP-сервера, IP-конфигурации, удаленно произвести перезагрузку девайса или изменить его имя.

Эксперты Core Security уведомили компанию-производителя о наличии брешей, однако та пока не предприняла никаких действий для исправления уязвимостей. Как заявил представитель InFocus в письме изданию SecurityWeek, злоумышленник сможет получить доступ только ко встроенным настройкам и функционалу включения/выключения устройства. Компания заверяет, что в будущем в ее продуктах будут реализованы дополнительные функции защиты.