PT-2024-13332 · Govee · Govee Home

Jan Adamski + 1 · Publicado 2024-12-19 · Atualizado 2024-12-24 · CVE-2023-4617

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Govee Home anteriores à 5.9

Descrição

O problema está relacionado a uma vulnerabilidade de autorização incorreta no método HTTP POST do aplicativo Govee Home para Android e iOS. Isso permite que um invasor remoto controle dispositivos pertencentes a outros usuários alterando os valores dos campos device, sku e type.

Recomendações

Para versões anteriores à 5.9, atualize para a versão 5.9 para mitigar o risco. Como solução temporária, considere restringir o acesso ao método HTTP POST até que a atualização seja aplicada. Evite usar os campos device, sku e type no endpoint da API afetado até que o problema seja resolvido.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2023-4617

Produtos afetados

Govee Home

Referências · 10

• https://cert.pl/posts/2024/12/CVE-2023-4617 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-4617 · Nota de Segurança
• https://t.me/cvedetector/13317 · Publicação no Telegram
• https://play.google.com/store/apps/details?id=com.govee.home · Nota
• https://twitter.com/CVEnew/status/1869688099506368991 · Publicação no Twitter
• https://cert.pl/en/posts/2024/12/CVE-2023-4617 · Nota
• https://t.me/cvenotify/104871 · Publicação no Telegram
• https://apps.apple.com/us/app/govee-home/id1395696823 · Nota
• https://twitter.com/CveFindCom/status/1869684481239491047 · Publicação no Twitter
• https://twitter.com/cracbot/status/1871435706872344670 · Publicação no Twitter