Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Los dispositivos CCU2 y CCU3 de HomeMatic eQ-3. (CVE-2019-10121)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-306 Ausencia de autenticación para una función crítica
Fecha de publicación:
10/07/2019
Última modificación:
24/08/2020

Descripción

Los dispositivos CCU2 versiones anteriores a 2.41.8 y los dispositivos CCU3 versiones anteriores a 3.43.15 de HomeMatic eQ-3, usan identificadores de sesión para la identificación pero carecen de comprobación de autorización. Un atacante puede obtener un ID de sesión por medio del diálogo de identificación del usuario, también se conoce como HMCCU-153. Esto conlleva a un inicio de sesión automático como administrador.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:eq-3:ccu3_firmware:*:*:*:*:*:*:*:* 3.43.15 (excluyendo)
cpe:2.3:h:eq-3:ccu3:-:*:*:*:*:*:*:*
cpe:2.3:o:eq-3:ccu2_firmware:*:*:*:*:*:*:*:* 2.41.8 (excluyendo)
cpe:2.3:h:eq-3:ccu2:-:*:*:*:*:*:*:*