Podatności w urządzeniach tinycontrol umożliwiają przejęcie kont administratorów

CERT Polska opublikował ostrzeżenie dotyczące dwóch podatności w urządzeniach polskiego producenta tinycontrol. Luki dotyczą popularnych sterowników tcPDU oraz LAN Controllers w wersjach LK3.5, LK3.9 i LK4. Problem jest poważny: atakujący mogą przejąć konta administratorów i uzyskać pełną kontrolę nad urządzeniami zarządzającymi infrastrukturą.

Urządzenia tinycontrol są wykorzystywane do zdalnego sterowania zasilaniem i monitorowania parametrów środowiskowych w serwerowniach, centrach danych i instalacjach przemysłowych. Ich kompromitacja może prowadzić do wyłączenia krytycznych systemów lub manipulacji konfiguracją sprzętu.

Dwie drogi do przejęcia kontroli

Pierwsza podatność, oznaczona jako CVE-2025-11500, dotyczy słabego kodowania haseł. CERT Polska wyjaśnia, że urządzenia tinycontrol posiadają dwa odrębne mechanizmy uwierzytelniania. Gdy drugi z nich jest wyłączony — co stanowi ustawienie domyślne — nieuwierzytelniony atakujący w sieci lokalnej może uzyskać nazwy użytkowników oraz zakodowane hasła do portalu zarządzania.

Dane te są ujawniane w pliku JSON zwracanym przez serwer podczas odwiedzania strony logowania. Dotyczy to zarówno zwykłych użytkowników, jak i administratora. Choć hasła są kodowane, słabe mechanizmy szyfrowania mogą ułatwić ich złamanie.

Druga luka, CVE-2025-15587, jest jeszcze bardziej bezpośrednia. Użytkownik o niskich uprawnieniach może odczytać hasło administratora poprzez bezpośredni dostęp do określonego zasobu, który nie jest dostępny z poziomu interfejsu graficznego. Ta technika, znana jako forced browsing, polega na próbie dotarcia do ukrytych ścieżek w aplikacji webowej.

Kto jest zagrożony i jak się zabezpieczyć

Podatności dotyczą wszystkich wersji oprogramowania układowego poniżej następujących numerów: 1.36 dla tcPDU, 1.67 dla LK3.5, 1.75 dla LK3.9 oraz 1.38 dla LK4. Producent wydał poprawki dla wszystkich podatnych modeli i wersji sprzętowych.

Administratorzy powinni jak najszybciej zaktualizować firmware do bezpiecznych wersji. Proces aktualizacji zazwyczaj wymaga pobrania odpowiedniego pliku z witryny producenta i wgrania go przez panel administracyjny urządzenia. Przed aktualizacją należy wykonać kopię zapasową konfiguracji.

Warto również włączyć drugi mechanizm uwierzytelniania, który chroni wszystkie zasoby serwera, nie tylko interfejs zarządzania. Choć nie jest to ustawienie domyślne, znacząco podnosi poziom bezpieczeństwa.

Rola CERT Polska w ujawnieniu problemu

CERT Polska nie tylko otrzymał zgłoszenie o pierwszej podatności, ale także koordynował proces odpowiedzialnego ujawnienia informacji. Pierwszą lukę zgłosił Paweł Różański z firmy Securitum. Drugą podatność zgłosił sam producent, co zasługuje na uznanie — tinycontrol postanowił publicznie ujawnić problem, aby zwiększyć bezpieczeństwo użytkowników.

Taki model współpracy między badaczami bezpieczeństwa, producentami i zespołami CERT jest kluczowy dla szybkiego łatania luk przed ich masowym wykorzystaniem. Dzięki koordynacji CERT Polska użytkownicy otrzymali poprawki zanim informacja o podatnościach stała się powszechnie znana.

Kontekst: urządzenia IoT w infrastrukturze krytycznej

Urządzenia do zdalnego zarządzania zasilaniem i monitoringu często działają w segmentach sieci uznawanych za zaufane. Administratorzy zakładają, że dostęp do nich mają tylko uprawnione osoby. Luki w takich systemach są więc szczególnie niebezpieczne — atakujący, który już znajduje się w sieci lokalnej, może je wykorzystać do eskalacji uprawnień.

Należy pamiętać, że wiele urządzeń IoT i systemów przemysłowych nie otrzymuje regularnych aktualizacji bezpieczeństwa. W przypadku tinycontrol sytuacja jest lepsza: producent szybko zareagował i wydał poprawki. To dobry przykład odpowiedzialnego podejścia do bezpieczeństwa produktów.

Co dalej

Administratorzy powinni sprawdzić wersje firmware w swoich urządzeniach tinycontrol i zaplanować aktualizację. Jeśli natychmiastowa aktualizacja nie jest możliwa, warto rozważyć dodatkową segmentację sieci i ograniczenie dostępu do interfejsów zarządzania urządzeniami.

Więcej informacji o procesie zgłaszania podatności i koordynacji ujawnień można znaleźć na stronie CERT Polska poświęconej Coordinated Vulnerability Disclosure. Producent tinycontrol udostępnia aktualizacje na swojej oficjalnej stronie wraz z instrukcjami instalacji.