CVE-2025-54863
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
System Radiometrics VizAir ujawnia klucz API REST poprzez publicznie dostępny plik konfiguracyjny. Atakujący może zdalnie modyfikować dane pogodowe i konfigurację, automatyzować ataki na wiele instancji oraz wyodrębniać wrażliwe dane meteorologiczne.
Ocena ryzyka
Możliwe jest zakłócenie operacji lotniskowych, fałszywe alerty prowadzące do odmowy usługi oraz błędne planowanie lotów i niebezpieczne warunki startu i lądowania.
Rekomendacja
Należy natychmiast zabezpieczyć plik konfiguracyjny przed publicznym dostępem, zmienić klucz API oraz ograniczyć dostęp do interfejsu REST API.
Inne podatności w Radiometrics VizAir
Zobacz wszystkie- CVE-2025-61956Krytyczne
System Radiometrics VizAir nie posiada mechanizmów uwierzytelniania dla krytycznych funkcji, takich jak dostęp administracyjny i żądania API. Atakujący może bez uwierzytelnienia modyfikować konfiguracje, w tym ustawienia aktywnych pasów startowych oraz dane meteorologiczne, co może wprowadzać w błąd kontrolę ruchu lotniczego i pilotów.
- CVE-2025-61945Krytyczne
Radiometrics VizAir jest podatny na dostęp do panelu administracyjnego bez uwierzytelnienia przez dowolnego zdalnego atakującego. Atakujący może modyfikować krytyczne parametry pogodowe, takie jak alerty uskoku wiatru, głębokość inwersji i wartości CAPE, co może prowadzić do wyłączenia alertów i manipulacji przydziałem pasów startowych.
Oryginalny opis (angielski, źródło NVD)
Radiometrics VizAir is vulnerable to exposure of the system's REST API key through a publicly accessible configuration file. This allows attackers to remotely alter weather data and configurations, automate attacks against multiple instances, and extract sensitive meteorological data, which could potentially compromise airport operations. Additionally, attackers could flood the system with false alerts, leading to a denial-of-service condition and significant disruption to airport operations. Unauthorized remote control over aviation weather monitoring and data manipulation could result in incorrect flight planning and hazardous takeoff and landing conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS