CVE-2025-15544
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Proces adopcji urządzeń Omada przesyła dane uwierzytelniające związane z zarządzaniem witryną przy użyciu słabego algorytmu haszowania. Atakujący, który przechwyci ruch uwierzytelniający, może odzyskać prawidłowe dane logowania i uzyskać nieautoryzowany dostęp do zarządzanych urządzeń.
Ocena ryzyka
Ryzyko kradzieży danych uwierzytelniających i nieautoryzowanego dostępu do całego środowiska zarządzanego przez kontroler.
Rekomendacja
Zaleca się aktualizację oprogramowania Omada do wersji, która stosuje silniejszy algorytm haszowania oraz szyfrowanie transmisji.
Inne podatności w Omada
Zobacz wszystkie- CVE-2025-15631Średnie
Słabość kryptograficzna w urządzeniach Omada, gdzie poświadczenia witryny są chronione przy użyciu przestarzałego algorytmu haszującego, który nie zapewnia wystarczającej ochrony. Atakujący, który uzyska dostęp do przechowywanych danych poświadczeń, może odzyskać prawidłowe poświadczenia i uzyskać nieautoryzowany dostęp do urządzeń lub środowisk zarządzania.
- CVE-2025-15630Średnie
Stan wyścigu w procesie adopcji urządzeń Omada w chmurze, gdzie atakujący może wchodzić w interakcje z przepływem adopcji przed zakończeniem rejestracji przez legalne urządzenie, co skutkuje dostarczeniem informacji o konfiguracji do atakującego. Udane wykorzystanie może ujawnić informacje o konfiguracji przeznaczone dla legalnego urządzenia.
- CVE-2025-15629Wysokie
Słabość kryptograficzna w protokole adopcji Omada, gdzie klucze szyfrowania sesji używane do ochrony komunikacji między kontrolerami a zarządzanymi urządzeniami mogą być przewidywalne z powodu niewystarczającej entropii w generowaniu kluczy sesji. Atakujący, który przechwyci komunikację związaną z adopcją, może odzyskać klucze szyfrowania sesji i odszyfrować dotkniętą komunikację.
- CVE-2025-15628Wysokie
Urządzenia Omada używają wbudowanych certyfikatów współdzielonych między wdrożeniami do ustanawiania zaufania między kontrolerami a zarządzanymi urządzeniami. Atakujący, który uzyska te certyfikaty, może podszyć się pod zaufane kontrolery lub urządzenia i przechwycić komunikację.
- CVE-2025-15627Wysokie
Protokół adopcji Omada wykorzystuje zakodowane na stałe klucze kryptograficzne do ustanawiania zaufania i ochrony uwierzytelniania między kontrolerami a zarządzanymi urządzeniami. Atakujący może podszyć się pod zaufany kontroler lub urządzenie i uzyskać dostęp do wrażliwych danych przesyłanych podczas adopcji.
- CVE-2025-9291Średnie
W komunikacji między urządzeniami Omada a kontrolerami chmurowymi występuje słabość walidacji certyfikatów. Weryfikacja tożsamości certyfikatu nie sprawdza wystarczająco, czy certyfikat odpowiada oczekiwanej nazwie hosta kontrolera, co może pozwolić na ominięcie ochrony walidacji certyfikatu.
Oryginalny opis (angielski, źródło NVD)
A cryptographic weakness exists in the Omada device adoption process. During adoption, authentication credentials associated with site management are transmitted using a weak hashing algorithm that does not provide sufficient protection. An attacker who successfully intercepts adoption-related authentication traffic may be able to recover valid credentials and gain unauthorized access to managed devices or controller-managed environments.