Podatności BLU-IC2/BLU-IC4

Plik /etc/timezone może zostać zapisany w sposób dowolny, co pozwala na niekontrolowaną modyfikację konfiguracji strefy czasowej. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Plik /etc/avahi/services/z9.service może zostać zapisany w sposób dowolny, co pozwala na niekontrolowaną modyfikację konfiguracji usługi Avahi. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Nieprawidłowe działanie interfejsu Web UI podczas ustawiania nieoczekiwanego locale przez API. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.

Wiele urządzeń BLU-IC2 i BLU-IC4 (do wersji 1.19.5) współdzieli te same sekrety dla usługi SDKSocket (TCP/5000).

Brakujące nagłówki bezpieczeństwa. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.

Podatna funkcja aktualizacji w urządzeniach BLU-IC2 i BLU-IC4 (do wersji 1.19.5) umożliwia dowolny zapis plików, co może prowadzić do uzyskania uprawnień superużytkownika na urządzeniu.

Podatność w urządzeniach BLU-IC2 i BLU-IC4 (do wersji 1.19.5) umożliwia manipulację plikiem konfiguracyjnym poczty oraz wykonanie poleceń. Może to prowadzić do przejęcia kontroli nad urządzeniem.

W urządzeniach występują słabe domyślne poświadczenia, które mogą zostać łatwo odgadnięte lub złamane. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

W systemie tworzone są nieudokumentowane konta administracyjne, które mają ułatwiać dostęp aplikacjom działającym na urządzeniu. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Przestarzałe i podatne zależności interfejsu użytkownika mogą potencjalnie prowadzić do wykorzystania. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.

Systemowy brak implementacji tokenów CSRF (Cross-Site Request Forgery). Problem dotyczy BLU-IC2 w wersjach do 1.19.5 oraz BLU-IC4 w wersjach do 1.19.5.

Podatność umożliwiająca lokalną eskalację uprawnień. Problem dotyczy urządzeń BLU-IC2 w wersjach do 1.19.5 oraz BLU-IC4 w wersjach do 1.19.5.

Komunikaty błędów są zwracane w nagłówkach HTTP w urządzeniach BLU-IC2 i BLU-IC4 do wersji 1.19.5 włącznie. Może to ujawnić informacje wewnętrzne potencjalnemu atakującemu.

Podatność ujawnienia hasła e-mail. Problem dotyczy BLU-IC2 do wersji 1.19.5 oraz BLU-IC4 do wersji 1.19.5.

Brak walidacji danych wejściowych w interfejsie webowym może prowadzić do potencjalnego wykorzystania podatności. Problem dotyczy urządzeń BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Funkcjonalność wylogowania nie działa prawidłowo. Problem dotyczy urządzeń BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Włączona konsola szeregowa może potencjalnie ujawniać informacje, które mogą pomóc atakującemu w znalezieniu podatności. Problem dotyczy BLU-IC2 do wersji 1.19.5 oraz BLU-IC4 do wersji 1.19.5.

Podatność wynika z błędnej konfiguracji bezpieczeństwa HTTP — ciasteczka nie mają ustawionych atrybutów Secure i HTTPOnly. Umożliwia to odczyt wrażliwych ciasteczek z kontekstu JavaScript, np. w wyniku ataku XSS. Problem dotyczy urządzeń BLU-IC2 i BLU-IC4 w wersjach do 1.19.5.

Brak sanityzacji manifestu aplikacji może prowadzić do potencjalnego przechowywanego XSS. Problem dotyczy BLU-IC2 do wersji 1.19.5 oraz BLU-IC4 do wersji 1.19.5.

W jednym z API produktów BLU-IC2 i BLU-IC4 do wersji 1.19.5 występuje nieprawidłowy nagłówek Content-Type (text/html zamiast application/json). Może to umożliwić wstrzyknięcie HTML/JavaScript do odpowiedzi.