CVE-2025-50944

WysokieCVSS 8.8

Opublikowano: 15/09/2025(UTC)Zaktualizowano: 08/11/2026(UTC)Przetłumaczono: 08/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

W metodzie push.lite.avtech.com.MySSLSocketFactoryNew.checkServerTrusted w AVTECH EagleEyes 2.0.0 wykryto problem. Niestandardowy X509TrustManager używany w checkServerTrusted sprawdza jedynie datę ważności certyfikatu, pomijając prawidłową walidację łańcucha TLS.

Ocena ryzyka

Aplikacja akceptuje certyfikaty niezaufane lub sfałszowane, co umożliwia atakującemu przechwycenie i modyfikację komunikacji (atak man-in-the-middle).

Rekomendacja

Zaktualizuj AVTECH EagleEyes do wersji z poprawioną walidacją certyfikatów lub wdroż poprawkę wymuszającą pełną weryfikację łańcucha TLS.

Inne podatności w AVTECH EagleEyes

CVE-2025-46408Krytyczne
W metodach push.lite.avtech.com.AvtechLib.GetHttpsResponse i push.lite.avtech.com.Push_HttpService.getNewHttpClient w AVTECH EagleEyes 2.0.0 wykryto problem. Metody ustawiają ALLOW_ALL_HOSTNAME_VERIFIER, co omija walidację domeny.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in the method push.lite.avtech.com.MySSLSocketFactoryNew.checkServerTrusted in AVTECH EagleEyes 2.0.0. The custom X509TrustManager used in checkServerTrusted only checks the certificate's expiration date, skipping proper TLS chain validation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS