Уязвимость в облачном сервисе CloudEdge заключается в отсутствии очистки ввода темы MQTT. Это приводит к возможности использования подстано…

Уязвимость в облачном сервисе CloudEdge заключается в отсутствии очистки ввода темы MQTT. Это приводит к возможности использования подстановочного символа «#» для подписки на все сообщения, предназначенные другим пользователям, что позволяет злоумышленнику перехватывать учётные данные и ключи камер (CWE‑155, неправильная нейтрализация подстановочных символов) [1]. По данным CISA, CVSS‑v4 базовый балл 8.7 (AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N), а CVSS‑v3.1 — 7.5. Затронуты CloudEdge App 4.4.2 и CloudEdge Online Cameras. Эксплуатация может дать полный доступ к видеопотоку и управлению камерами. Рекомендации: обновить CloudEdge до последней версии, ограничить сетевое воздействие устройств, разместить их за брандмауэром, использовать VPN и регулярно проверять конфигурацию [1]. Источники: - [1] https://www.cisa.gov/news-events/ics-advisories/icsa-25-294-05