CVE-2025-15629
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Słabość kryptograficzna w protokole adopcji Omada, gdzie klucze szyfrowania sesji używane do ochrony komunikacji między kontrolerami a zarządzanymi urządzeniami mogą być przewidywalne z powodu niewystarczającej entropii w generowaniu kluczy sesji. Atakujący, który przechwyci komunikację związaną z adopcją, może odzyskać klucze szyfrowania sesji i odszyfrować dotkniętą komunikację.
Ocena ryzyka
Atakujący może odszyfrować komunikację między kontrolerami a urządzeniami Omada, co może prowadzić do ujawnienia wrażliwych danych lub przejęcia kontroli nad urządzeniami.
Rekomendacja
Należy zaktualizować oprogramowanie urządzeń Omada do najnowszej wersji, która zawiera poprawki kryptograficzne zwiększające entropię kluczy.
Inne podatności w Omada
Zobacz wszystkie- CVE-2025-15631Średnie
Słabość kryptograficzna w urządzeniach Omada, gdzie poświadczenia witryny są chronione przy użyciu przestarzałego algorytmu haszującego, który nie zapewnia wystarczającej ochrony. Atakujący, który uzyska dostęp do przechowywanych danych poświadczeń, może odzyskać prawidłowe poświadczenia i uzyskać nieautoryzowany dostęp do urządzeń lub środowisk zarządzania.
- CVE-2025-15630Średnie
Stan wyścigu w procesie adopcji urządzeń Omada w chmurze, gdzie atakujący może wchodzić w interakcje z przepływem adopcji przed zakończeniem rejestracji przez legalne urządzenie, co skutkuje dostarczeniem informacji o konfiguracji do atakującego. Udane wykorzystanie może ujawnić informacje o konfiguracji przeznaczone dla legalnego urządzenia.
- CVE-2025-15628Wysokie
Urządzenia Omada używają wbudowanych certyfikatów współdzielonych między wdrożeniami do ustanawiania zaufania między kontrolerami a zarządzanymi urządzeniami. Atakujący, który uzyska te certyfikaty, może podszyć się pod zaufane kontrolery lub urządzenia i przechwycić komunikację.
- CVE-2025-15627Wysokie
Protokół adopcji Omada wykorzystuje zakodowane na stałe klucze kryptograficzne do ustanawiania zaufania i ochrony uwierzytelniania między kontrolerami a zarządzanymi urządzeniami. Atakujący może podszyć się pod zaufany kontroler lub urządzenie i uzyskać dostęp do wrażliwych danych przesyłanych podczas adopcji.
- CVE-2025-15544Średnie
Proces adopcji urządzeń Omada przesyła dane uwierzytelniające związane z zarządzaniem witryną przy użyciu słabego algorytmu haszowania. Atakujący, który przechwyci ruch uwierzytelniający, może odzyskać prawidłowe dane logowania i uzyskać nieautoryzowany dostęp do zarządzanych urządzeń.
- CVE-2025-9291Średnie
W komunikacji między urządzeniami Omada a kontrolerami chmurowymi występuje słabość walidacji certyfikatów. Weryfikacja tożsamości certyfikatu nie sprawdza wystarczająco, czy certyfikat odpowiada oczekiwanej nazwie hosta kontrolera, co może pozwolić na ominięcie ochrony walidacji certyfikatu.
Oryginalny opis (angielski, źródło NVD)
A cryptographic weakness exists in the Omada adoption protocol where session encryption keys used to protect communications between controllers and managed devices may be predictable due to insufficient entropy in session key generation. An attacker who successfully intercepts adoption-related communications may be able to recover session encryption keys and decrypt affected communications.