PT-2025-49277 · Advantech · Wise-Deviceon Server

Alex Williams · CVE-2025-34256 · Publicado 2025-12-05 · Atualizado 2026-01-01

Positive Technologies (AI Summary) · Pt

CVSS v4.0

10

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Servidor Advantech WISE-DeviceOn versões anteriores à 5.4

Descrição O software utiliza um segredo HMAC HS512 estático para assinar JWTs EIRMMToken em todas as instalações. Isso permite que um atacante remoto não autenticado gere JWTs forjados contendo uma claim de e-mail válida, possibilitando a personificação de qualquer conta DeviceOn, incluindo o super administrador root. A exploração bem-sucedida concede controle administrativo total da instância do DeviceOn e permite a execução de código em agentes gerenciados por meio dos recursos de gerenciamento remoto do software. O endpoint da API é vulnerável à aceitação de JWTs forjados. O parâmetro vulnerável é a claim de e-mail dentro do JWT.

Recomendações Versões anteriores à 5.4 devem ser atualizadas. Restrinja o acesso ao software como uma mitigação temporária.

Exploit

Correção

Enumeração de Fraquezas

CWE-321

Identificadores relacionados

CVE-2025-34256

Produtos afetados

Wise-Deviceon Server

Referências · 13

• 🔥 https://pellera.com/blog/advantech-wise-deviceon-cve-2025-34256-vulnerability · Exploit
• https://osv.dev/vulnerability/CVE-2025-34256 · Aviso do Fabricante
• https://t.me/cveNotify/146109 · Publicação no Telegram
• https://vulncheck.com/advisories/advantech-wise-deviceon-server-hardcoded-jwt-key-authentication-bypass · Nota
• https://advcloudfiles.advantech.com/cms/2ca1b071-fd78-4d7f-8a2a-7b4537a95d19/Security%20Advisory%20PDF%20File/SECURITY-ADVISORY----DeviceOn-20251208-2.pdf · Correção, Aviso do Fabricante
• https://twitter.com/offseq/status/1997139513743720507 · Publicação no Twitter
• https://twitter.com/CCBalert/status/1998090427208024141 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-34256 · Nota de Segurança
• https://t.me/poxek/5747 · Publicação no Telegram
• https://advcloudfiles.advantech.com/cms/2ca1b071-fd78-4d7f-8a2a-7b4537a95d19/Security%20Advisory%20PDF%20File/SECURITY-ADVISORY----DeviceOn.pdf · Correção, Aviso do Fabricante
• https://docs.deviceon.advantech.com/docs/resource · Nota
• https://twitter.com/SecReportCVE/status/2006820787416600919 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1997000970446811282 · Publicação no Twitter