CVE-2025-15628
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Urządzenia Omada używają wbudowanych certyfikatów współdzielonych między wdrożeniami do ustanawiania zaufania między kontrolerami a zarządzanymi urządzeniami. Atakujący, który uzyska te certyfikaty, może podszyć się pod zaufane kontrolery lub urządzenia i przechwycić komunikację.
Ocena ryzyka
Uzyskanie certyfikatów umożliwia atakującemu przechwytywanie i modyfikację ruchu sieciowego między urządzeniami Omada, co może prowadzić do kradzieży danych lub naruszenia integralności sieci.
Rekomendacja
Zmień domyślne certyfikaty na unikalne dla każdego wdrożenia. Regularnie audytuj zaufanie między urządzeniami.
Inne podatności w Omada
Zobacz wszystkie- CVE-2025-15631Średnie
Słabość kryptograficzna w urządzeniach Omada, gdzie poświadczenia witryny są chronione przy użyciu przestarzałego algorytmu haszującego, który nie zapewnia wystarczającej ochrony. Atakujący, który uzyska dostęp do przechowywanych danych poświadczeń, może odzyskać prawidłowe poświadczenia i uzyskać nieautoryzowany dostęp do urządzeń lub środowisk zarządzania.
- CVE-2025-15630Średnie
Stan wyścigu w procesie adopcji urządzeń Omada w chmurze, gdzie atakujący może wchodzić w interakcje z przepływem adopcji przed zakończeniem rejestracji przez legalne urządzenie, co skutkuje dostarczeniem informacji o konfiguracji do atakującego. Udane wykorzystanie może ujawnić informacje o konfiguracji przeznaczone dla legalnego urządzenia.
- CVE-2025-15629Wysokie
Słabość kryptograficzna w protokole adopcji Omada, gdzie klucze szyfrowania sesji używane do ochrony komunikacji między kontrolerami a zarządzanymi urządzeniami mogą być przewidywalne z powodu niewystarczającej entropii w generowaniu kluczy sesji. Atakujący, który przechwyci komunikację związaną z adopcją, może odzyskać klucze szyfrowania sesji i odszyfrować dotkniętą komunikację.
- CVE-2025-15627Wysokie
Protokół adopcji Omada wykorzystuje zakodowane na stałe klucze kryptograficzne do ustanawiania zaufania i ochrony uwierzytelniania między kontrolerami a zarządzanymi urządzeniami. Atakujący może podszyć się pod zaufany kontroler lub urządzenie i uzyskać dostęp do wrażliwych danych przesyłanych podczas adopcji.
- CVE-2025-15544Średnie
Proces adopcji urządzeń Omada przesyła dane uwierzytelniające związane z zarządzaniem witryną przy użyciu słabego algorytmu haszowania. Atakujący, który przechwyci ruch uwierzytelniający, może odzyskać prawidłowe dane logowania i uzyskać nieautoryzowany dostęp do zarządzanych urządzeń.
- CVE-2025-9291Średnie
W komunikacji między urządzeniami Omada a kontrolerami chmurowymi występuje słabość walidacji certyfikatów. Weryfikacja tożsamości certyfikatu nie sprawdza wystarczająco, czy certyfikat odpowiada oczekiwanej nazwie hosta kontrolera, co może pozwolić na ominięcie ochrony walidacji certyfikatu.
Oryginalny opis (angielski, źródło NVD)
Affected Omada devices rely on embedded certificates that are shared across deployments to establish trust between controllers and managed devices. An attacker who obtains the embedded certificates may be able to impersonate trusted controllers or devices and intercept affected communications.