PT-2026-24600
CVE-2026-3611
·
تاريخ النشر
2026-03-11
·
تاريخ التحديث
2026-04-15
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
وحدة التحكم في إدارة المباني Honeywell IQ4x (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تكشف وحدة التحكم في إدارة المباني Honeywell IQ4x عن واجهة التفاعل بين الإنسان والآلة (HMI) القائمة على الويب بالكامل دون مصادقة في إعداداتها الافتراضية من المصنع. وعندما لا يتم تكوين وحدة المستخدم، يتم تعطيل الأمان حسب التصميم، ويعمل النظام في سياق «ضيف النظام» (System Guest)، مما يمنح امتيازات القراءة/الكتابة لأي شخص يمكنه الوصول إلى واجهة HTTP. ولا يتم فرض المصادقة إلا بعد إنشاء مستخدم ويب من خلال وظيفة
U.htm، التي تعمل على تمكين وحدة المستخدم ديناميكيًا. ونظرًا لإمكانية الوصول إلى هذه الوظيفة قبل المصادقة، يمكن للمستخدم عن بُعد إنشاء حساب جديد يتمتع بأذونات قراءة/كتابة إدارية، مما يؤدي إلى تمكين وحدة المستخدم وفرض المصادقة باستخدام بيانات اعتماد يسيطر عليها المهاجم. ويمكن لهذا الإجراء أن يمنع بشكل فعال المشغلين الشرعيين من الوصول إلى التكوين والإدارة المحلية وعبر الويب.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾