An issue was discovered in UCI IDOL 2 (aka uciIDOL or IDOL2) through 2.12. Data is sent between client and server with encryption. However, the key is derived from the string "(c)2007 UCI Software GmbH B.Boll" (without quotes). The key is both static and hardcoded. With access to messages, this results in message decryption and encryption by an attacker. Thus, it enables passive and active man-in-the-middle attacks.
oryginał ENCVSS Vector
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:NUci Idol2
APPUci≤ 2.12
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
CWE
Powiązane podatności
CVE-2024-45166CRITICAL9.8PL ✓ten sam produkt
RCE i DoS w UCI IDOL 2 przez błędną deserializację i przepełnienie bufora
CVE-2024-45167CRITICAL9.8PL ✓ten sam produkt
RCE i DoS w UCI IDOL 2 przez improper input validation i deserializację
CVE-2024-45168CRITICAL9.1PL ✓ten sam produkt
UCI IDOL 2: brak uwierzytelnienia w komunikacji przez raw socket
CVE-2024-45169CRITICAL9.8PL ✓ten sam produkt
RCE i DoS w UCI IDOL 2 przez nieprawidłową deserializację i walidację danych