Механизм блокировки после неудачных попыток входа в устройствах ICX35 работает в браузере, а не на самом устройстве. Удаление файлов cookie снимает ограничение: cookie - служебные данные, которые веб-интерфейс сохраняет в браузере администратора. Число попыток ввода пароля после этого не ограничено, поэтому перебор паролей ничем не сдерживается. Затронуты устройства X35-HWC-A и ICX35-HWC-E марки ProSoft Technology, входящей в Belden.
Обход блокировки входов в веб-интерфейсе ICX35
Проблема затрагивает встроенный веб-модуль, через который администратор входит в интерфейс управления. Счётчик неудачных попыток ведётся на стороне клиента, то есть в браузере, так что удаление cookie возвращает возможность вводить пароли без ограничений. Вендор описывает слабость двумя формулировками: недостаточное ограничение числа попыток аутентификации и перенос проверки безопасности со стороны сервера на сторону клиента. Оценка CVSS (общая система оценки уязвимостей, шкала от 0 до 10) - 5.2 из 10, уровень Medium по классификации вендора. Вектор атаки Belden не раскрывает: не сказано, нужна ли предварительная аутентификация и требуется ли участие пользователя, поэтому условия входа стоит уточнять в бюллетене PSIRT-9.
Практический результат один: ограничение, задуманное как защита от подбора, перестаёт работать. Сводка по уведомлению относит последствие к обходу политики безопасности. Иными словами, устройство перестаёт соблюдать собственное правило о числе попыток входа. Доступ к интерфейсу управления по-прежнему закрыт паролем. Однако ничто не мешает перебирать этот пароль сколько угодно раз.
Исправление есть - версия 1.14.158. Вендор называет затронутыми версии 1.14.153 и более ранние. Сводка по уведомлению описывает границу иначе, как версии до 1.14.158. Расхождение касается только диапазона, а целевая версия в обоих документах одна и та же. Обходных мер Belden не приводит: в бюллетене есть лишь рекомендация обновиться. Настройки, которая отключала бы проверку на стороне клиента, вендор тоже не называет. Порядок получения файлов исправления описан в бюллетене PSIRT-9 от 28 октября 2026 года; версия самого документа - 1.0.
Сведений об эксплуатации в реальных атаках в уведомлении нет. Проблему нашёл и сообщил исследователь Rustam Amin, Belden указывает его в разделе благодарностей. Публикация технических деталей в бюллетене не означает, что уязвимость уже применяют. Обе сводки появились 28 октября 2026 года, то есть в один день.
Значимость определяется тем, что подбор пароля ведёт к веб-интерфейсу устройства, а через него - к настройкам ICX35. Ограничение на число попыток было единственной преградой на этом пути, и теперь оно снимается на стороне браузера. Пока устройство не переведено на 1.14.158, сдерживающим фактором остаётся стойкость самого пароля. Администратору полезно проверить, какие учётные записи имеют доступ к веб-интерфейсу затронутых устройств.
Ссылки
