Auto-Maskin dengiz dvigatellari kontrollerlarida zaifliklar aniqlandi

Bugungi kunga qadar zaifliklar tuzatilmaganligicha qolmoqda.

Xavfsizlik tadqiqotchilari Brayan Satira va Brayan Olson Norvegiyaning Auto-Maskin kompaniyasi tomonidan ishlab chiqarilgan dengiz dvigatellari kontrollerlarining dasturiy ta’minotida va ularga hamroh bo’lgan Android ilovasida zaifliklarni aniqladilar. Bu zaifliklar hali ham tuzatilmagan. CVE-2018-5399: DCU 210E dasturiy ta’minotida osonlikcha buzib tashlanadigan qattiq kodlangan foydalanuvchi nomi va parolga ega hujjatsiz Dropbear SSH serveri mavjud. Muammo masofadan boshqarish panellari va yoqilg’i boshqaruv bloklariga ta’sir qiladi.

CVE–2018-5400: Auto-Maskin mahsulotlari boshqa qurilmalar bilan ularni tekshirmasdan ulanishlarni o’rnatadigan hujjatlashtirilmagan, moslashtirilgan Modbus aloqa protokolidan foydalanadi. Zaiflik Auto-Maskin Marin Pro qurilmalariga va unga hamroh bo’lgan Android ilovasi Marine Pro Observerga ta’sir qiladi. Hujumchi qurilmaga maxsus tayyorlangan Modbus TCP paketlarini yuborishi va uning sozlamalarini o’zgartirishi mumkin.

CVE–2018-5401: Qurilmalar boshqaruv ma’lumotlarini shifrlanmagan Modbus aloqa kanali orqali uzatadi. Zaiflik Auto-Maskin Marin Pro qurilmalariga va unga hamroh bo’lgan Android ilovasi Marine Pro Observerga ta’sir qiladi.

CVE–2018-5402: O’rnatilgan veb-server administrator PIN-kodini shifrlanmagan holda uzatadi. Bu muammo masofadan boshqarish panellari va yoqilg’i boshqaruv bloklariga ta’sir qiladi. Tarmoqqa kirish huquqiga ega bo’lgan tajovuzkor ushbu zaiflikdan qurilmaga root kirish huquqini olish uchun foydalanishi mumkin.