CVE-2025-58069

ŚrednieCVSS 5.3

Opublikowano: 23/09/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W firmware w wersji 3.60 sterownika Click Plus PLC wykryto użycie zaszytego na stałe klucza kryptograficznego. Podatność polega na tym, że oprogramowanie zawiera zaszyty klucz AES używany do ochrony początkowych komunikatów nowej sesji KOPS.

Ocena ryzyka

Zaszyty klucz AES może zostać wyodrębniony z oprogramowania i wykorzystany do odszyfrowania lub podszycia się pod początkową komunikację sesji KOPS, osłabiając poufność i integralność.

Rekomendacja

Zaktualizuj firmware do wersji, w której klucz nie jest zaszyty na stałe, i wdroż mechanizm unikalnych kluczy dla każdego urządzenia.

Inne podatności w Click Plus PLC

CVE-2025-55038Średnie
W firmware urządzenia Click Plus C2-03CPU2 w wersji 3.60 wykryto podatność polegającą na obejściu autoryzacji. Poprzez protokół KOPR używany przez aplikację Remote PLC uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać i modyfikować zmienne PLC wykraczając poza swoje uprawnienia.

Oryginalny opis (angielski, źródło NVD)

The use of a hard-coded cryptographic key was discovered in firmware version 3.60 of the Click Plus PLC. The vulnerability relies on the fact that the software contains a hard-coded AES key used to protect the initial messages of a new KOPS session.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS