DEEBOT PRO M1 и DEEBOT PRO K1VAC используют команду wget с отключенной проверкой сертификата сервера.
Атака «человек посередине» может позволить получить и/или изменить информацию о затронутых продуктах. В результате произвольный код может быть выполнен с правами администратора.
Показать оригинальное описание (EN)
DEEBOT PRO M1 and DEEBOT PRO K1VAC use wget command with server certificate validation disabled. A man-in-the-middle attack may allow to obtain and/or alter communications of the affected products. As a result, arbitrary code may be executed with the administrative privilege.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
ecovacs robotics:deebot pro m1
ecovacs robotics:deebot pro k1vac