CVE-2025-52578
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W High Sec ELM występuje nieprawidłowe użycie ziaren w generatorze liczb pseudolosowych (CWE-335), co może pozwolić zaawansowanemu atakującemu z fizycznym dostępem na przejęcie wewnętrznej komunikacji urządzenia. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a (dystrybuowanych w 9.30.2881 (MR3)), 9.20 przed vCR9.20.251028a (dystrybuowanych w 9.20.3265 (MR5)), 9.10 przed vCR9.10.251028a (dystrybuowanych w 9.10.4135 (MR8)) oraz wszystkich wersji 9.00 i wcześniejszych.
Ocena ryzyka
Atakujący z fizycznym dostępem może przechwycić lub zakłócić komunikację wewnętrzną, co może prowadzić do ujawnienia poufnych informacji lub manipulacji danymi.
Rekomendacja
Zaktualizuj Command Centre Server do wersji zawierającej poprawkę (vCR9.30.251028a, vCR9.20.251028a, vCR9.10.251028a lub nowszej) i ogranicz fizyczny dostęp do urządzeń.
Inne podatności w Command Centre Server
Zobacz wszystkie- CVE-2026-26053Średnie
Podatność nieprawidłowego przypisania uprawnień (CWE-266) w Command Centre Server umożliwia uwierzytelnionemu operatorowi z ograniczonymi uprawnieniami wykonanie operacji, do których normalnie nie byłby upoważniony. Problem dotyczy wersji 9.50 przed MR1, 9.40 przed MR3, 9.30 przed MR5, 9.20 przed MR7 oraz wszystkich wersji 9.10.
- CVE-2026-20757Niskie
Podatność nieprawidłowego blokowania (CWE-667) w integracji Gallagher Morpho pozwala uprzywilejowanemu operatorowi na spowodowanie ograniczonej odmowy usługi w serwerze Command Centre Server. Problem dotyczy wersji 9.40 przed vEL9.40.1976(MR1), 9.30 przed vEL9.30.3382 (MR4), 9.20 przed vEL9.20.3783 (MR6), 9.10 przed vEL9.10.4647 (MR9) oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-64734Niskie
W czytniku T21 występuje brak zwalniania zasobów po zakończeniu ich życia (CWE-772), co pozwala atakującemu z fizycznym dostępem do czytnika przeprowadzić atak typu denial-of-service na ten konkretny czytnik, uniemożliwiając kartom dostępu wejście. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a, 9.20 przed vCR9.20.251028a, 9.10 przed vCR9.10.251028a oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-52457Średnie
W urządzeniach HBUS występuje rozbieżność czasowa (CWE-208), która może pozwolić atakującemu z fizycznym dostępem do urządzenia na wyodrębnienie kluczy specyficznych dla urządzenia. Może to potencjalnie zagrozić dalszemu bezpieczeństwu obiektu. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a, 9.20 przed vCR9.20.251028a, 9.10 przed vCR9.10.251028a oraz wszystkich wersji 9.00 i starszych.
- CVE-2025-48430Średnie
W serwerze Command Centre Server występuje nieobsłużony wyjątek (CWE-248), który pozwala upoważnionemu i uprzywilejowanemu operatorowi na celowe spowodowanie awarii serwera. Podatność dotyczy wersji: 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.
- CVE-2025-41402Średnie
W serwerze Command Centre występuje podatność Client-Side Enforcement of Server-Side Security (CWE-602), która pozwala uprzywilejowanemu operatorowi wprowadzić nieprawidłowe dane kompetencji, omijając sprawdzanie wygaśnięcia. Podatność dotyczy wersji 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7) oraz wszystkich wersji 9.00 i starszych.
- CVE-2025-35981Średnie
W serwerze Command Centre Server występuje ujawnienie prywatnych danych osobowych nieautoryzowanemu podmiotowi (CWE-359), które pozwala uprzywilejowanemu operatorowi na przeglądanie ograniczonych danych osobowych posiadacza karty, do których normalnie nie ma uprawnień. Podatność dotyczy wersji: 9.30.1874 (MR1), 9.20.2337 (MR3), 9.10.3194 (MR6).
Oryginalny opis (angielski, źródło NVD)
Incorrect Usage of Seeds in Pseudo-Random Number Generator (CWE- 335) vulnerability in the High Sec ELM may allow a sophisticated attacker with physical access, to compromise internal device communications. This issue affects Command Centre Server: 9.30 prior to vCR9.30.251028a (distributed in 9.30.2881 (MR3)), 9.20 prior to vCR9.20.251028a (distributed in 9.20.3265 (MR5)), 9.10 prior to vCR9.10.251028a (distributed in 9.10.4135 (MR8)), all versions of 9.00 and prior.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS