PT-2020-12495 · Thinx · Thinx-Device-Api
Suculent
·
Publicado
2020-04-30
·
Atualizado
2022-10-29
·
CVE-2020-11015
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do servidor de gerenciamento de dispositivos IoT thinx-device-api anteriores à 2.5.0
Descrição
Foi divulgada uma vulnerabilidade no servidor de gerenciamento de dispositivos IoT thinx-device-api, na qual o endereço MAC do dispositivo pode ser falsificado. Isso permite que solicitações de registro inicial sem um UDID e com um endereço MAC falsificado criem um novo UDID com o mesmo endereço MAC. O impacto total dessa vulnerabilidade precisa ser analisado mais detalhadamente. Ela afeta todos os usuários, principalmente aqueles que utilizam dispositivos ESP8266/ESP32.
Recomendações
Para versões anteriores à 2.5.0, atualize para a versão de firmware 2.5.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint de solicitação de registro inicial para minimizar o risco de exploração. Evite usar endereços MAC falsificados em solicitações de registro até que o problema seja resolvido.
Correção
Authentication Bypass by Spoofing
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Thinx-Device-Api