CVE-2025-65291
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Urządzenia Aqara Hub (Hub M2, Hub M3, Camera Hub G3) nie weryfikują certyfikatów serwera w połączeniach TLS dla usług wykrywania i komunikacji CoAP, co umożliwia ataki typu man-in-the-middle na sterowanie i monitorowanie urządzeń.
Ocena ryzyka
Atakujący może przechwytywać i modyfikować komunikację z urządzeniami, co może prowadzić do nieautoryzowanego sterowania lub podsłuchu danych.
Rekomendacja
Sprawdź, czy producent udostępnił poprawki dotyczące weryfikacji certyfikatów. Ogranicz dostęp sieciowy do urządzeń i używaj bezpiecznych sieci.
Inne podatności w Aqara Hub
Zobacz wszystkie- CVE-2025-65294Krytyczne
Urządzenia Aqara Hub, w tym Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 i Hub M3 4.3.6_0025, zawierają nieudokumentowany mechanizm zdalnego dostępu umożliwiający nieograniczone zdalne wykonywanie poleceń.
- CVE-2025-65297Wysokie
Urządzenia Aqara Hub (Camera Hub G3, Hub M2, Hub M3) automatycznie zbierają i przesyłają niezaszyfrowane wrażliwe informacje. Dzieje się to bez ujawnienia ani zgody producenta.
- CVE-2025-65296Średnie
Podatności typu dereferencja wskaźnika NULL w Aqara Hub M2 4.3.6_0027, Hub M3 4.3.6_0025 i Camera Hub G3 4.1.9_0027 podczas przetwarzania JSON umożliwiają ataki typu denial-of-service poprzez dostarczenie zniekształconych danych wejściowych JSON.
- CVE-2025-65295Wysokie
Wiele podatności w procesie aktualizacji oprogramowania w urządzeniach Aqara Hub (Camera Hub G3, Hub M2, Hub M3) umożliwia atakującym instalację złośliwego oprogramowania bez odpowiedniej weryfikacji. Urządzenia nie weryfikują podpisów oprogramowania podczas aktualizacji, używają przestarzałych metod kryptograficznych i ujawniają informacje przez niezainicjalizowaną pamięć.
- CVE-2025-65292Wysokie
Podatność na wstrzykiwanie poleceń w urządzeniach Aqara Hub, w tym Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 i Hub M3 4.3.6_0025, umożliwia atakującym wykonanie dowolnych poleceń z uprawnieniami roota poprzez złośliwe nazwy domen.
- CVE-2025-65290Wysokie
Urządzenia Aqara Hub (Camera Hub G3, Hub M2, Hub M3) nie weryfikują certyfikatów serwera podczas pobierania oprogramowania przez HTTPS, co umożliwia atakującym typu man-in-the-middle przechwycenie ruchu aktualizacji i potencjalne dostarczenie zmodyfikowanych plików oprogramowania.
Oryginalny opis (angielski, źródło NVD)
Aqara Hub devices including Hub M2 4.3.6_0027, Hub M3 4.3.6_0025, Camera Hub G3 4.1.9_0027 fail to validate server certificates in TLS connections for discovery services and CoAP gateway communications, enabling man-in-the-middle attacks on device control and monitoring.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS