CVE-2025-65294
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Urządzenia Aqara Hub, w tym Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 i Hub M3 4.3.6_0025, zawierają nieudokumentowany mechanizm zdalnego dostępu umożliwiający nieograniczone zdalne wykonywanie poleceń.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie urządzenia przez zdalnego atakującego, co może prowadzić do naruszenia prywatności, szpiegostwa lub wykorzystania urządzenia jako punktu wejścia do sieci.
Rekomendacja
Zaleca się sprawdzenie dostępności aktualizacji oprogramowania układowego od producenta i natychmiastowe ich zastosowanie, a także ograniczenie dostępu do urządzeń z zewnątrz.
Inne podatności w Aqara Hub
Zobacz wszystkie- CVE-2025-65297Wysokie
Urządzenia Aqara Hub (Camera Hub G3, Hub M2, Hub M3) automatycznie zbierają i przesyłają niezaszyfrowane wrażliwe informacje. Dzieje się to bez ujawnienia ani zgody producenta.
- CVE-2025-65296Średnie
Podatności typu dereferencja wskaźnika NULL w Aqara Hub M2 4.3.6_0027, Hub M3 4.3.6_0025 i Camera Hub G3 4.1.9_0027 podczas przetwarzania JSON umożliwiają ataki typu denial-of-service poprzez dostarczenie zniekształconych danych wejściowych JSON.
- CVE-2025-65295Wysokie
Wiele podatności w procesie aktualizacji oprogramowania w urządzeniach Aqara Hub (Camera Hub G3, Hub M2, Hub M3) umożliwia atakującym instalację złośliwego oprogramowania bez odpowiedniej weryfikacji. Urządzenia nie weryfikują podpisów oprogramowania podczas aktualizacji, używają przestarzałych metod kryptograficznych i ujawniają informacje przez niezainicjalizowaną pamięć.
- CVE-2025-65292Wysokie
Podatność na wstrzykiwanie poleceń w urządzeniach Aqara Hub, w tym Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 i Hub M3 4.3.6_0025, umożliwia atakującym wykonanie dowolnych poleceń z uprawnieniami roota poprzez złośliwe nazwy domen.
- CVE-2025-65291Wysokie
Urządzenia Aqara Hub (Hub M2, Hub M3, Camera Hub G3) nie weryfikują certyfikatów serwera w połączeniach TLS dla usług wykrywania i komunikacji CoAP, co umożliwia ataki typu man-in-the-middle na sterowanie i monitorowanie urządzeń.
- CVE-2025-65290Wysokie
Urządzenia Aqara Hub (Camera Hub G3, Hub M2, Hub M3) nie weryfikują certyfikatów serwera podczas pobierania oprogramowania przez HTTPS, co umożliwia atakującym typu man-in-the-middle przechwycenie ruchu aktualizacji i potencjalne dostarczenie zmodyfikowanych plików oprogramowania.
Oryginalny opis (angielski, źródło NVD)
Aqara Hub devices including Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027, and Hub M3 4.3.6_0025 contain an undocumented remote access mechanism enabling unrestricted remote command execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS