В EVlink City (EVC1S22P4 / EVC1S7P4 все версии до R8 V3.4.0.1), EVlink Parking (EVW2 / EVF2 / EV.2 все версии до R8 V3.4.0.1) и EVlink Smar…
В EVlink City (EVC1S22P4 / EVC1S7P4 все версии до R8 V3.4.0.1), EVlink Parking (EVW2 / EVF2 / EV.2 все версии до R8 V3.4.0.1) и EVlink Smart Wallbox (EVB1A все версии до R8 V3.4.0.1) существует уязвимость CWE-347: Improper Verification of Cryptographic Signature, которая может позволить злоумышленнику создать вредоносный пакет прошивки и обойти механизм проверки подписи.
Продукт не проверяет или некорректно проверяет криптографическую подпись данных.
https://cwe.mitre.org/data/definitions/347.html →Открыть в коллекции CWE →Злоумышленник способен эффективно расшифровывать данные, не зная ключа дешифрования, если целевая система раскрывает информацию о том, возникла ли ошибка дополнения при расшифровке зашифртекста. Целевая система, утечку такой информации, становится оракулом дополнения, а злоумышленник может использовать этот оракул для эффективной расшифровки данных без знания ключа дешифрования, выполнив в среднем 128*b обращений к оракулу дополнения (где b — количество байт в блоке зашифртекста). Помимо расшифровки, злоумышленник способен также формировать корректные зашифртексты (то есть выполнять шифрование) с использованием оракула дополнения, не зная ключа шифрования.
https://capec.mitre.org/data/definitions/463.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует криптографическую слабость в реализации алгоритма проверки подписи для генерации действительной подписи без знания ключа.
https://capec.mitre.org/data/definitions/475.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| evlink_city_evc1s22p4_firmware | * | Отслеживается |
| evlink_city_evc1s7p4_firmware | * | Отслеживается |
| evlink_parking_ev.2_firmware | * | Отслеживается |
| evlink_parking_evf2_firmware | * | Отслеживается |
| evlink_parking_evw2_firmware | * | Отслеживается |
| evlink_smart_wallbox_evb1a_firmware | * | Отслеживается |