ZTE SmartLife: Account-Übernahme durch Passwort-Reset ohne Verifizierungscode

Beschreibung

Im Account-Backend der ZTE-SmartLife-App akzeptierte der Passwort-Reset-Endpunkt laut einem Reddit-Bericht (r/netsec) die Ziel-accountId und ein neues Passwort, ohne einen Reset-Code, das alte Passwort oder eine validierte Reset-Transaktion zu verlangen. Ein weiterer Endpunkt gab preis, ob eine E-Mail-Adresse registriert ist, und lieferte die zugehörige Backend-Account-ID zurück. Über die Kette E-Mail zu accountId zu Passwort-Reset zu Login liess sich damit ein fremdes Konto übernehmen; der Autor bestätigte den Zustandswechsel, da das alte Passwort danach nicht mehr funktionierte. CVSS-Basiswert: 8.8 (Hoch). ZTE hat die gemeldeten Probleme laut Quelle gepatcht (manuell erfasst).

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage