Credenciales en texto claro en productos VARTA
- Element backup, versiones anteriores a F21000400.
- Versiones anteriores a 2e.3.8.0 de los productos:
- Element S1,
- Element S2,
- Element S3,
- One L/XL.
- Element S3, versiones anteriores a 2e.4.4.0.
- Element S4, versiones anteriores a D21010400.
- Pulse (sin incluir pulse neo), versiones anteriores a C21010800.
El investigador de seguridad Andreas Dolp, con la coordinación y soporte del CERT@VDE, ha identificado una vulnerabilidad crítica en distintos productos de VARTA que ha reportado al propio fabricante. La explotación de esta vulnerabilidad podría permitir a un atacante acceder al backend de la web para leer y modificar archivos.
Se liberará una versión correctora por OTA. El despliegue de Element backup comenzará a finales del primer trimestre de 2023, seguido de Element S4.
Hasta entonces, se recomienda restringir el tráfico HTTP al sistema de almacenamiento de energía utilizando un firewall u otras medidas de seguridad a nivel de red.
Las credenciales codificadas en texto claro en la interfaz de usuario de la web de varios productos VARTA podrían permitir a un atacante no autorizado obtener acceso administrativo al backend con permisos de lectura y escritura. Se ha asignado el identificador CVE-2022-22512 para esta vulnerabilidad.