CVE-2025-65292
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie poleceń w urządzeniach Aqara Hub, w tym Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 i Hub M3 4.3.6_0025, umożliwia atakującym wykonanie dowolnych poleceń z uprawnieniami roota poprzez złośliwe nazwy domen.
Ocena ryzyka
Ryzyko pełnej kompromitacji urządzenia, co może prowadzić do przejęcia kontroli nad urządzeniem i dostępem do sieci lokalnej. Atakujący może uzyskać uprawnienia roota.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania urządzeń Aqara Hub do najnowszej wersji. Należy również ograniczyć dostęp do urządzeń z zewnątrz i monitorować nietypowe zachowania.
Inne podatności w Aqara Hub
Zobacz wszystkie- CVE-2025-65294Krytyczne
Urządzenia Aqara Hub, w tym Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 i Hub M3 4.3.6_0025, zawierają nieudokumentowany mechanizm zdalnego dostępu umożliwiający nieograniczone zdalne wykonywanie poleceń.
- CVE-2025-65297Wysokie
Urządzenia Aqara Hub (Camera Hub G3, Hub M2, Hub M3) automatycznie zbierają i przesyłają niezaszyfrowane wrażliwe informacje. Dzieje się to bez ujawnienia ani zgody producenta.
- CVE-2025-65296Średnie
Podatności typu dereferencja wskaźnika NULL w Aqara Hub M2 4.3.6_0027, Hub M3 4.3.6_0025 i Camera Hub G3 4.1.9_0027 podczas przetwarzania JSON umożliwiają ataki typu denial-of-service poprzez dostarczenie zniekształconych danych wejściowych JSON.
- CVE-2025-65295Wysokie
Wiele podatności w procesie aktualizacji oprogramowania w urządzeniach Aqara Hub (Camera Hub G3, Hub M2, Hub M3) umożliwia atakującym instalację złośliwego oprogramowania bez odpowiedniej weryfikacji. Urządzenia nie weryfikują podpisów oprogramowania podczas aktualizacji, używają przestarzałych metod kryptograficznych i ujawniają informacje przez niezainicjalizowaną pamięć.
- CVE-2025-65291Wysokie
Urządzenia Aqara Hub (Hub M2, Hub M3, Camera Hub G3) nie weryfikują certyfikatów serwera w połączeniach TLS dla usług wykrywania i komunikacji CoAP, co umożliwia ataki typu man-in-the-middle na sterowanie i monitorowanie urządzeń.
- CVE-2025-65290Wysokie
Urządzenia Aqara Hub (Camera Hub G3, Hub M2, Hub M3) nie weryfikują certyfikatów serwera podczas pobierania oprogramowania przez HTTPS, co umożliwia atakującym typu man-in-the-middle przechwycenie ruchu aktualizacji i potencjalne dostarczenie zmodyfikowanych plików oprogramowania.
Oryginalny opis (angielski, źródło NVD)
Command injection vulnerability in Aqara Hub devices including Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027, and Hub M3 4.3.6_0025 allows attackers to execute arbitrary commands with root privileges through malicious domain names.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS