CVE-2025-11643
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W urządzeniach Tomofun Furbo 360 i Furbo Mini wykryto zaszyte na stałe dane uwierzytelniające w pliku /squashfs-root/furbo_img w komponencie klienta MQTT. Atak można zainicjować zdalnie, ale charakteryzuje się wysoką złożonością; dotyczy firmware Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
Ocena ryzyka
Zaszyte dane uwierzytelniające mogą umożliwić nieautoryzowany dostęp do komunikacji MQTT i podszycie się pod urządzenie. Wysoka złożoność ataku zmniejsza prawdopodobieństwo wykorzystania.
Rekomendacja
Ogranicz ekspozycję sieciową urządzeń i monitoruj nietypową komunikację MQTT. Śledź aktualizacje firmware od producenta, który nie odpowiedział na zgłoszenie.
Inne podatności w Furbo 360 / Furbo Mini
Zobacz wszystkie- CVE-2025-11644Niskie
W urządzeniach Tomofun Furbo 360 i Furbo Mini wykryto słabość w interfejsie UART prowadzącą do niezabezpieczonego przechowywania poufnych informacji. Atak wymaga fizycznego dostępu do urządzenia i charakteryzuje się wysoką złożonością; dotyczy firmware Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
- CVE-2025-11638Średnie
Wykryto wadę w Tomofun Furbo 360 i Furbo Mini w komponencie Bluetooth Handler. Manipulacja nieznaną funkcją może prowadzić do odmowy usługi (denial of service). Atakujący musi znajdować się w sieci lokalnej; dotyczy to wersji firmware Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Tomofun Furbo 360 and Furbo Mini. Affected by this vulnerability is an unknown functionality of the file /squashfs-root/furbo_img of the component MQTT Client Certificate. Performing manipulation results in hard-coded credentials. The attack may be initiated remotely. The attack's complexity is rated as high. The exploitation appears to be difficult. The firmware versions determined to be affected are Furbo 360 up to FB0035_FW_036 and Furbo Mini up to MC0020_FW_074. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS