Исправленные ключи AES-128-CBC внутри приложения AcerConnect OTA позволяют злоумышленникам подделывать учетные данные авторизации для произвольных номеров IMEI. Это позволяет неавторизованным лицам составлять список элементов каталога и извлекать защищенные двоичные файлы из предварительно подписанных облачных ссылок.
Показать оригинальное описание (EN)
Fixed AES-128-CBC keys inside the AcerConnect OTA application let attackers forge authorization credentials for arbitrary IMEI numbers. This allows unauthorized actors to list catalog items and extract protected binaries from pre-signed cloud links.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Acer Connect_M6e_5g_Firmware
cpe:2.3:o:acer:connect_m6e_5g_firmware:*:*:*:*:*:*:*:*
|
— |
<= m6e_ai_1.00.000019
|
|
Acer Connect_M6e_5g
cpe:2.3:h:acer:connect_m6e_5g:-:*:*:*:*:*:*:*
|
— | — |