CVE-2023-22601
Publiée le 2023-01-12 · Dernière modification le 2026-06-17
Les appareils InHand InRouter 302 et 615 sont affectés par des paramètres de ClientID MQTT prévisibles. Un attaquant non authentifié disposant d'un accès réseau peut calculer ces identifiants pour usurper l'identité d'appareils et obtenir un contrôle de haut niveau ou modifier les données d'autres routeurs gérés sur la même plateforme cloud. Cette opération est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
InHand Networks InRouter 302, prior to version IR302 V3.5.56, and InRouter 615, prior to version InRouter6XX-S-V2.3.0.r5542, contain vulnerability CWE-330: Use of Insufficiently Random Values. They do not properly randomize MQTT ClientID parameters. An unauthorized user could calculate this parameter and use it to gather additional information about other InHand devices managed on the same cloud platform.