CVE-2025-2605

OS Command Injection w Honeywell MB-Secure i MB-Secure PRO (privilege abuse)

CVSS 9.9v3.1pub. 2025-05-02upd. 2025-05-17

Podatność klasy command injection w oprogramowaniu firmware urządzeń Honeywell MB-Secure i MB-Secure PRO umożliwia uwierzytelnionemu napastnikowi nadużycie uprawnień. Wysoki wynik CVSS 9.9 oraz zasięg wykraczający poza środowisko podatnego systemu czynią tę podatność szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability in Honeywell MB-Secure allows Privilege Abuse. This issue affects MB-Secure: from V11.04 before V12.53 and MB-Secure PRO from V01.06 before V03.09.Honeywell also recommends updating to the most recent version of this product.

🤖 Analiza AI

Jak działa

Podatność wynika z niewłaściwej neutralizacji znaków specjalnych w poleceniach systemu operacyjnego (CWE-78 — OS Command Injection). Atakujący posiadający podstawowe uwierzytelnienie sieciowe może wstrzyknąć złośliwe polecenia systemowe, które zostaną wykonane przez urządzenie z podwyższonymi uprawnieniami. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani wysokich uprawnień wyjściowych, a skutki obejmują pełne naruszenie poufności, integralności i dostępności systemu oraz systemów powiązanych.

Skutki

Atakujący może wykonać dowolne polecenia systemu operacyjnego na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych, modyfikacji konfiguracji lub zakłócenia działania — z potencjalnym wpływem na inne systemy w sieci.

Mitygacja

Należy zaktualizować firmware Honeywell MB-Secure do wersji V12.53 lub nowszej oraz Honeywell MB-Secure PRO do wersji V03.09 lub nowszej. Producent zaleca dodatkowo migrację do najnowszej dostępnej wersji produktu. Szczegóły dostępne w notatkach bezpieczeństwa Honeywell pod adresem https://www.honeywell.com/us/en/product-security#security-notices.

Kogo dotyczy

Honeywell MB-Secure w wersjach od V11.04 do V12.52 (przed V12.53) oraz Honeywell MB-Secure PRO w wersjach od V01.06 do V03.08 (przed V03.09).

Uwagi

Podatność została opublikowana na liście Full Disclosure (seclists.org) w maju 2025 r., co wskazuje na publiczną dostępność szczegółów technicznych. Urządzenia MB-Secure stosowane są w systemach kontroli dostępu i bezpieczeństwa fizycznego, co podwyższa rzeczywiste ryzyko operacyjne.