EMQX Bileşeninde Birden Fazla Güvenlik Sorunu

Özet :

EMQX bileşeninde cihaz kimlik doğrulamasının eksik olması ve konsol varsayılan kimlik bilgileri gibi birden fazla güvenlik riski bulunmaktadır.

CVSS (Base Score):

9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H

Saldırı koşulları:

Saldırganlar ağ üzerinden EMQX hizmetine doğrudan erişebilir, cihaz düzeyinde kimlik doğrulamasının olmamasından yararlanarak tüm kullanıcı mesajlarına abone olabilir veya varsayılan kimlik bilgileriyle konsola giriş yaparak bilgilere erişebilir.

Risk:

Bu güvenlik açığı kullanıcı ile cihaz arasındaki iletişim verilerinin sızmasına ve saldırganların konsol üzerinden sistem mesajlarına erişmesine yol açabilir.

Etki kapsamı:

Bu sorun, 3.0.0 altı sürümlerde kullanımdan kaldırılmış EMQX bileşenini etkiler.

Giderim adımları:

Eski EMQX bileşeni tamamen kullanımdan kaldırılmıştır. 3.0.0 öncesi sürümlerde çalışan cihazların yükseltilmesi gerekir. Güncel desteklenen sürüm 6.0.1’dir.

Teşekkür

Bu güvenlik açığının keşfi ve sorumlu açıklama sürecindeki değerli yardımları için Sammy Azdoufal’a teşekkür ederiz.