CVE-2025-10910
KrytyczneStreszczenie
Podatność w procesie wiązania urządzeń z chmurą Govee pozwala zdalnemu atakującemu na przypisanie istniejącego, online'owego urządzenia Govee do swojego konta, co daje pełną kontrolę nad urządzeniem i usuwa je z konta prawowitego właściciela. Problem wynika z braku kryptograficznego powiązania identyfikatorów z sekretem urządzenia. Zweryfikowano dla lampy H6056 w wersji firmware 1.08.13, ale może dotyczyć innych urządzeń.
Ocena ryzyka
Atakujący może przejąć kontrolę nad urządzeniami IoT, co może prowadzić do naruszenia prywatności, manipulacji urządzeniem lub wykorzystania go do dalszych ataków.
Rekomendacja
Zaktualizuj firmware urządzeń Govee do najnowszej wersji, zwłaszcza modelu H6056, i monitoruj konta pod kątem nieautoryzowanych powiązań.
Oryginalny opis (angielski, źródło NVD)
A flaw in the binding process of Govee’s cloud platform and devices allows a remote attacker to bind an existing, online Govee device to the attacker’s account, resulting in full control of the device and removal of the device from its legitimate owner’s account. The server‑side API allows device association using a set of identifiers: "device", "sku", "type", and a client‑computed "value", that are not cryptographically bound to a secret originating from the device itself. The vulnerability has been verified for the Govee H6056 - lamp device in firmware version 1.08.13, but may affect also other Govee cloud‑connected devices. The vendor is investigating other potentially affected models. The vendor has deployed server-side security enhancements and automatic firmware updates for model H6056. Most of H6056 devices have been successfully patched through automatic updates. Remaining H6056 users with upgradeable hardware versions must manually update firmware through the Govee Home app