CVE-2025-52457
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W urządzeniach HBUS występuje rozbieżność czasowa (CWE-208), która może pozwolić atakującemu z fizycznym dostępem do urządzenia na wyodrębnienie kluczy specyficznych dla urządzenia. Może to potencjalnie zagrozić dalszemu bezpieczeństwu obiektu. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a, 9.20 przed vCR9.20.251028a, 9.10 przed vCR9.10.251028a oraz wszystkich wersji 9.00 i starszych.
Ocena ryzyka
Osoba z fizycznym dostępem do urządzenia może wyodrębnić klucze urządzenia, co może prowadzić do dalszego naruszenia bezpieczeństwa całego obiektu. Ryzyko jest szczególnie istotne w miejscach o słabym nadzorze fizycznym.
Rekomendacja
Zaktualizuj Command Centre Server do wersji zawierającej poprawkę (vCR9.30.251028a, vCR9.20.251028a lub vCR9.10.251028a w zależności od gałęzi). Ogranicz fizyczny dostęp do urządzeń HBUS do zaufanego personelu.
Inne podatności w Command Centre Server
Zobacz wszystkie- CVE-2026-26053Średnie
Podatność nieprawidłowego przypisania uprawnień (CWE-266) w Command Centre Server umożliwia uwierzytelnionemu operatorowi z ograniczonymi uprawnieniami wykonanie operacji, do których normalnie nie byłby upoważniony. Problem dotyczy wersji 9.50 przed MR1, 9.40 przed MR3, 9.30 przed MR5, 9.20 przed MR7 oraz wszystkich wersji 9.10.
- CVE-2026-20757Niskie
Podatność nieprawidłowego blokowania (CWE-667) w integracji Gallagher Morpho pozwala uprzywilejowanemu operatorowi na spowodowanie ograniczonej odmowy usługi w serwerze Command Centre Server. Problem dotyczy wersji 9.40 przed vEL9.40.1976(MR1), 9.30 przed vEL9.30.3382 (MR4), 9.20 przed vEL9.20.3783 (MR6), 9.10 przed vEL9.10.4647 (MR9) oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-64734Niskie
W czytniku T21 występuje brak zwalniania zasobów po zakończeniu ich życia (CWE-772), co pozwala atakującemu z fizycznym dostępem do czytnika przeprowadzić atak typu denial-of-service na ten konkretny czytnik, uniemożliwiając kartom dostępu wejście. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a, 9.20 przed vCR9.20.251028a, 9.10 przed vCR9.10.251028a oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-52578Średnie
W High Sec ELM występuje nieprawidłowe użycie ziaren w generatorze liczb pseudolosowych (CWE-335), co może pozwolić zaawansowanemu atakującemu z fizycznym dostępem na przejęcie wewnętrznej komunikacji urządzenia. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a (dystrybuowanych w 9.30.2881 (MR3)), 9.20 przed vCR9.20.251028a (dystrybuowanych w 9.20.3265 (MR5)), 9.10 przed vCR9.10.251028a (dystrybuowanych w 9.10.4135 (MR8)) oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-48430Średnie
W serwerze Command Centre Server występuje nieobsłużony wyjątek (CWE-248), który pozwala upoważnionemu i uprzywilejowanemu operatorowi na celowe spowodowanie awarii serwera. Podatność dotyczy wersji: 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.
- CVE-2025-41402Średnie
W serwerze Command Centre występuje podatność Client-Side Enforcement of Server-Side Security (CWE-602), która pozwala uprzywilejowanemu operatorowi wprowadzić nieprawidłowe dane kompetencji, omijając sprawdzanie wygaśnięcia. Podatność dotyczy wersji 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7) oraz wszystkich wersji 9.00 i starszych.
- CVE-2025-35981Średnie
W serwerze Command Centre Server występuje ujawnienie prywatnych danych osobowych nieautoryzowanemu podmiotowi (CWE-359), które pozwala uprzywilejowanemu operatorowi na przeglądanie ograniczonych danych osobowych posiadacza karty, do których normalnie nie ma uprawnień. Podatność dotyczy wersji: 9.30.1874 (MR1), 9.20.2337 (MR3), 9.10.3194 (MR6).
Oryginalny opis (angielski, źródło NVD)
Observable Timing Discrepancy (CWE-208) in HBUS devices may allow an attacker with physical access to the device to extract device-specific keys, potentially compromising further site security. This issue affects Command Centre Server: 9.30 prior to vCR9.30.251028a (distributed in 9.30.2881 (MR3)), 9.20 prior to vCR9.20.251028a (distributed in 9.20.3265 (MR5)), 9.10 prior to vCR9.10.251028a (distributed in 9.10.4135 (MR8)), all versions of 9.00 and prior.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS