PT-2025-1226 · Mercedes Benz · Mbux+1

Publicado 2025-01-17 · Atualizado 2025-02-16 · CVE-2023-34402

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Central multimídia Mercedes-Benz NTG6 (versões afetadas não especificadas)

Descrição O problema está relacionado à validação de entrada insuficiente na função UserDataExchangeServiceClient::unpackVoiceTagArchiveOptimized() do sistema multimídia Mercedes-Benz User Experience (MBUX). Isso pode permitir que um invasor escalone privilégios e grave arquivos arbitrários. O sistema contém funções para importar ou exportar configurações de perfil via USB e, devido a verificações faltantes, um invasor pode conseguir realizar a gravação arbitrária de arquivos com direitos de serviço de fala.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Memory Corruption

RCE

Enumeração de Fraquezas

CWE-787

CWE-20

Identificadores relacionados

BDU:2025-00605

CVE-2023-34402

Produtos afetados

Mbux

Mercedes-Benz Head-Unit Ntg6

Referências · 9

• https://github.com/klsecservices/Advisories/blob/master/K-Mercedes-Benz-2023-007.md · Nota
• https://t.me/cvenotify/111323 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-00605 · Nota de Segurança
• https://twitter.com/cybercronai/status/1891231461186953547 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-34402 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1890170587823370523 · Publicação no Twitter
• https://securelist.com/mercedes-benz-head-unit-security-research/115218 · Nota
• https://t.me/cvedetector/18058 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-34402 · Nota de Segurança