CVE-2026-3611
Açıklama
Honeywell IQ4x bina yönetim denetleyicisi, fabrika varsayılan yapılandırmasında web tabanlı HMI arayüzünü kimlik doğrulama olmaksızın dışarıya açmaktadır. Herhangi bir kullanıcı modülü yapılandırılmadığında, güvenlik tasarımı gereği devre dışı kalır ve sistem bir Sistem Konuğu (seviye 100) bağlamında çalışarak HTTP arayüzüne erişebilen herhangi bir tarafa okuma/yazma ayrıcalıkları tanır. Kimlik doğrulama kontrolleri, yalnızca U.htm aracılığıyla bir web kullanıcısı oluşturulduğunda uygulanır ve bu işlem kullanıcı modülünü dinamik olarak etkinleştirir. Bu işlev kimlik doğrulamadan önce erişilebilir olduğundan, uzak bir kullanıcı yönetici okuma/yazma izinlerine sahip yeni bir hesap oluşturabilir; böylece kullanıcı modülünü etkinleştirebilir ve saldırgan tarafından kontrol edilen kimlik bilgileriyle kimlik doğrulamayı zorunlu kılabilir. Bu eylem, meşru operatörlerin yerel ve web tabanlı yapılandırma ile yönetim erişimlerini etkili bir şekilde engelleyebilir.
Nasıl düzeltilir
- honeywell iq4e_firmware3.30 ya da sonraki bir sürüm
- honeywell iq412_firmware3.30 ya da sonraki bir sürüm
- honeywell iq422_firmware3.30 ya da sonraki bir sürüm
- honeywell iq4nc_firmware3.30 ya da sonraki bir sürüm
- honeywell iq41x_firmware3.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| honeywell iq4e_firmware | v < 3.30 | 3.30 |
| honeywell iq412_firmware | v < 3.30 | 3.30 |
| honeywell iq422_firmware | v < 3.30 | 3.30 |
| honeywell iq4nc_firmware | v < 3.30 | 3.30 |
| honeywell iq41x_firmware | v < 3.30 | 3.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.