CVE-2026-3611 in IQ4x BMS Controller
Riassunto
di VulDB • 17/06/2026
Il controller per la gestione degli edifici Honeywell IQ4x espone la sua interfaccia HMI basata su web completa senza autenticazione nella configurazione predefinita di fabbrica. Senza un modulo utente configurato, la sicurezza è disabilitata per progettazione e il sistema opera nel contesto di System Guest (livello 100), concedendo privilegi di lettura/scrittura a qualsiasi parte in grado di raggiungere l'interfaccia HTTP. I controlli di autenticazione vengono applicati solo dopo la creazione di un utente web tramite U.htm, che abilita dinamicamente il modulo utente. Poiché questa funzione è accessibile prima dell'autenticazione, un utente remoto può creare un nuovo account con privilegi amministrativi di lettura/scrittura, abilitando il modulo utente e imponendo l'autenticazione con credenziali controllate dall'attaccante. Questa azione può efficacemente bloccare gli operatori legittimi dall'accesso alla configurazione e all'amministrazione locale e basata su web.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.