CVE-2025-65828
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w urządzeniu Meatmeet pozwala nieuwierzytelnionemu atakującemu w zasięgu Bluetooth Low Energy (BLE) na wysłanie komend powodujących wyłączenie, restart lub wyczyszczenie konfiguracji urządzenia. Skutkuje to przerwaniem komunikacji z chmurą i koniecznością ponownej konfiguracji.
Ocena ryzyka
Organizacja traci dostęp do aktualizacji z Meatmeet, a urządzenie staje się bezużyteczne do czasu ręcznego przywrócenia, co może zakłócić działanie systemu monitorowania lub automatyki.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek od producenta oraz ograniczenie fizycznego dostępu do urządzeń Meatmeet, aby uniemożliwić ataki z bliskiej odległości.
Inne podatności w Meatmeet
Zobacz wszystkie- CVE-2025-65832Średnie
Aplikacja mobilna Meatmeet niebezpiecznie przechowuje informacje w pamięci. Po wylogowaniu i zakończeniu aplikacji zrzut pamięci może ujawnić dane Wi-Fi przesłane podczas parowania, tokeny JWT oraz inne wrażliwe informacje.
- CVE-2025-65825Średnie
Firmware stacji bazowej Meatmeet nie jest szyfrowany. Osoba z fizycznym dostępem może rozłożyć urządzenie, podłączyć się przez UART i pobrać zrzut firmware do analizy, w tym dane uwierzytelniające bieżących i poprzednich sieci Wi-Fi z partycji NVS.
- CVE-2025-65824Wysokie
Nieuwierzytelniony atakujący znajdujący się w pobliżu urządzenia Meatmeet może przeprowadzić nieautoryzowaną aktualizację firmware Over The Air (OTA) przez Bluetooth Low Energy (BLE). Urządzenie nie weryfikuje aktualizacji, co pozwala nadpisać firmware kodem atakującego i prowadzi do zdalnego wykonania kodu (RCE).
Oryginalny opis (angielski, źródło NVD)
An unauthenticated attacker within proximity of the Meatmeet device can issue several commands over Bluetooth Low Energy (BLE) to these devices which would result in a Denial of Service. These commands include: shutdown, restart, clear config. Clear config would disassociate the current device from its user and would require re-configuration to re-enable the device. As a result, the end user would be unable to receive updates from the Meatmeet base station which communicates with the cloud services until the device had been fixed or turned back on.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS