CVE-2022-47758

Nanoleaf Firmware — RCE przez brak weryfikacji TLS i DNS hijacking

CVSS 9.8v3.1pub. 2023-04-27upd. 2026-07-09

Nanoleaf firmware w wersji 7.1.1 i wcześniejszych nie weryfikuje certyfikatów TLS, co pozwala atakującemu na zdalne wykonanie dowolnego kodu poprzez atak DNS hijacking. Podatność jest krytyczna ze względu na brak wymagań dotyczących uwierzytelnienia i możliwość pełnego przejęcia kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

Nanoleaf firmware v7.1.1 and below is missing TLS verification, allowing attackers to execute arbitrary code via a DNS hijacking attack.

🤖 Analiza AI

Jak działa

Urządzenie Nanoleaf nie przeprowadza weryfikacji certyfikatów TLS podczas komunikacji sieciowej (CWE-295). Atakujący może wykonać atak DNS hijacking, przekierowując ruch urządzenia na kontrolowany przez siebie serwer. Ponieważ firmware nie sprawdza autentyczności certyfikatu serwera, urządzenie akceptuje złośliwe odpowiedzi, co umożliwia dostarczenie i wykonanie dowolnego kodu na urządzeniu.

Skutki

Atakujący może zdalnie wykonać dowolny kod na urządzeniu Nanoleaf bez żadnego uwierzytelnienia, uzyskując pełną kontrolę nad jego działaniem — w tym potencjalnie naruszając poufność, integralność i dostępność systemu.

Mitygacja

Należy zaktualizować firmware Nanoleaf do wersji wyższej niż 7.1.1. Szczegółowe informacje o dostępnych patchach należy sprawdzić zgodnie z referencjami producenta. Jako tymczasowe obejście zaleca się segmentację sieci IoT oraz monitorowanie ruchu DNS urządzeń Nanoleaf.