CVE-2025-11642
ŚrednieCVSS 4.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność w Tomofun Furbo 360 i Furbo Mini. Dotyczy nieznanej funkcji komponentu Registration Handler. Manipulacja prowadzi do odmowy usługi. Atak można wykonać bezpośrednio na urządzeniu fizycznym. Atak wymaga wysokiego poziomu złożoności, a wykorzystanie jest określane jako trudne. Dotyczy to wersji oprogramowania Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
Ocena ryzyka
Atakujący z fizycznym dostępem do urządzenia może wywołać odmowę usługi, zakłócając jego działanie. Wysoka złożoność ataku ogranicza ryzyko, ale urządzenia są podatne.
Rekomendacja
Monitoruj dostępność urządzeń i ogranicz fizyczny dostęp do nich. Skontaktuj się z producentem w celu uzyskania informacji o aktualizacjach.
Inne podatności w Tomofun Furbo
Zobacz wszystkie- CVE-2025-11650Niskie
W urządzeniach Tomofun Furbo 360 i Furbo Mini w pliku /etc/shadow (komponent Password Handler) występuje użycie słabego hasha. Atak wymaga fizycznego dostępu do urządzenia i charakteryzuje się wysoką złożonością. Podatność została publicznie ujawniona, a producent nie odpowiedział na zgłoszenie. Dotyczy wersji Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
- CVE-2025-11648Średnie
W urządzeniach Tomofun Furbo 360 i Furbo Mini występuje podatność typu server-side request forgery w obsłudze pliku TF_FQDN.json w interfejsie GATT. Atak może być przeprowadzony zdalnie, ale jest bardzo złożony i trudny do wykorzystania.
- CVE-2025-11647Niskie
W urządzeniach Tomofun Furbo 360 i Furbo Mini wykryto podatność w komponencie GATT Service. Manipulacja argumentem DeviceToken powoduje ujawnienie informacji. Atak jest możliwy tylko w sieci lokalnej, wymaga wysokiej złożoności i jest oceniany jako trudny do wykorzystania. Podatne są wersje oprogramowania Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
- CVE-2025-11646Średnie
Tomofun Furbo 360 i Furbo Mini zawierają podatność w komponencie GATT Service polegającą na niewłaściwej kontroli dostępu. Atak może być przeprowadzony wyłącznie z sieci lokalnej, a exploit jest publicznie dostępny.
- CVE-2025-11641Niskie
W urządzeniach Tomofun Furbo 360 i Furbo Mini wykryto podatność w nieznanej funkcji komponentu Trial Restriction Handler. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak wymaga fizycznego dostępu do urządzenia i cechuje się wysoką złożonością. Podatne są wersje firmware Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
- CVE-2025-11640Niskie
W urządzeniach Tomofun Furbo 360 i Furbo Mini występuje podatność w komponencie Bluetooth Low Energy polegająca na przesyłaniu poufnych informacji w postaci jawnej. Atak wymaga dostępu do sieci lokalnej i jest trudny do przeprowadzenia. Dotyczy to oprogramowania Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
- CVE-2025-11639Niskie
W urządzeniach Tomofun Furbo 360 i Furbo Mini wykryto podatność w pliku collect_logs.sh, w komponencie obsługi dziennika debugowania S3 Bucket. Manipulacja prowadzi do niezabezpieczonego przechowywania poufnych informacji. Atak wymaga dostępu lokalnego, a dotknięte wersje oprogramowania to Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
- CVE-2025-11637Średnie
Wykryto podatność w Tomofun Furbo 360 do wersji FB0035_FW_036. Dotyczy nieznanej funkcji komponentu Audio Handler i polega na wystąpieniu warunku wyścigu (race condition). Atak można przeprowadzić zdalnie.
- CVE-2025-11636Średnie
Wykryto podatność bezpieczeństwa w Tomofun Furbo 360 do wersji FB0035_FW_036. Problem dotyczy nieznanego przetwarzania w komponencie Account Handler. Taka manipulacja prowadzi do podrabiania żądań po stronie serwera (SSRF). Atak może być wykonany zdalnie, ale charakteryzuje się wysoką złożonością i trudnością wykorzystania. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-11635Średnie
W urządzeniu Tomofun Furbo 360 do wersji FB0035_FW_036 zidentyfikowano słabość w nieznanym kodzie komponentu File Upload. Manipulacja powoduje zużycie zasobów, a atak można przeprowadzić zdalnie. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Tomofun Furbo 360 and Furbo Mini. Affected is an unknown function of the component Registration Handler. Such manipulation leads to denial of service. The attack can be executed directly on the physical device. The attack requires a high level of complexity. The exploitability is told to be difficult. The firmware versions determined to be affected are Furbo 360 up to FB0035_FW_036 and Furbo Mini up to MC0020_FW_074. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS