CVE-2025-15630
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Stan wyścigu w procesie adopcji urządzeń Omada w chmurze, gdzie atakujący może wchodzić w interakcje z przepływem adopcji przed zakończeniem rejestracji przez legalne urządzenie, co skutkuje dostarczeniem informacji o konfiguracji do atakującego. Udane wykorzystanie może ujawnić informacje o konfiguracji przeznaczone dla legalnego urządzenia.
Ocena ryzyka
Atakujący może przechwycić informacje o konfiguracji urządzenia, co może prowadzić do nieautoryzowanego dostępu do sieci lub innych zasobów.
Rekomendacja
Należy zaktualizować oprogramowanie urządzeń Omada do najnowszej wersji, która zawiera poprawki eliminujące stan wyścigu.
Inne podatności w Omada
Zobacz wszystkie- CVE-2025-15631Średnie
Słabość kryptograficzna w urządzeniach Omada, gdzie poświadczenia witryny są chronione przy użyciu przestarzałego algorytmu haszującego, który nie zapewnia wystarczającej ochrony. Atakujący, który uzyska dostęp do przechowywanych danych poświadczeń, może odzyskać prawidłowe poświadczenia i uzyskać nieautoryzowany dostęp do urządzeń lub środowisk zarządzania.
- CVE-2025-15629Wysokie
Słabość kryptograficzna w protokole adopcji Omada, gdzie klucze szyfrowania sesji używane do ochrony komunikacji między kontrolerami a zarządzanymi urządzeniami mogą być przewidywalne z powodu niewystarczającej entropii w generowaniu kluczy sesji. Atakujący, który przechwyci komunikację związaną z adopcją, może odzyskać klucze szyfrowania sesji i odszyfrować dotkniętą komunikację.
- CVE-2025-15628Wysokie
Urządzenia Omada używają wbudowanych certyfikatów współdzielonych między wdrożeniami do ustanawiania zaufania między kontrolerami a zarządzanymi urządzeniami. Atakujący, który uzyska te certyfikaty, może podszyć się pod zaufane kontrolery lub urządzenia i przechwycić komunikację.
- CVE-2025-15627Wysokie
Protokół adopcji Omada wykorzystuje zakodowane na stałe klucze kryptograficzne do ustanawiania zaufania i ochrony uwierzytelniania między kontrolerami a zarządzanymi urządzeniami. Atakujący może podszyć się pod zaufany kontroler lub urządzenie i uzyskać dostęp do wrażliwych danych przesyłanych podczas adopcji.
- CVE-2025-15544Średnie
Proces adopcji urządzeń Omada przesyła dane uwierzytelniające związane z zarządzaniem witryną przy użyciu słabego algorytmu haszowania. Atakujący, który przechwyci ruch uwierzytelniający, może odzyskać prawidłowe dane logowania i uzyskać nieautoryzowany dostęp do zarządzanych urządzeń.
- CVE-2025-9291Średnie
W komunikacji między urządzeniami Omada a kontrolerami chmurowymi występuje słabość walidacji certyfikatów. Weryfikacja tożsamości certyfikatu nie sprawdza wystarczająco, czy certyfikat odpowiada oczekiwanej nazwie hosta kontrolera, co może pozwolić na ominięcie ochrony walidacji certyfikatu.
Oryginalny opis (angielski, źródło NVD)
A race condition exists in the cloud-based Omada device adoption process when an attacker may be able to interact with the adoption workflow before a legitimate device completes registration, resulting in provisioning information being delivered to an attacker. Successful exploitation may allow disclosure of provisioning information intended for a legitimate device.