CVE-2025-12218

Podatność polega na tym, że oprogramowanie sprzętowe (firmware) urządzeń BLU-IC2 i BLU-IC4 zawiera słabe domyślne dane uwierzytelniające, które prawdopodobnie nie są wymuszane do zmiany przez użytkownika podczas konfiguracji. Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może wykorzystać te znane lub łatwe do odgadnięcia dane logowania, aby uzyskać dostęp do urządzenia. Wektor ataku sieciowego (AV:N) w połączeniu z brakiem wymaganych uprawnień (PR:N) i interakcji (UI:N) sprawia, że atak jest prosty do przeprowadzenia na dużą skalę.

Atakujący może uzyskać pełną kontrolę nad urządzeniem, co skutkuje kompromitacją poufności, integralności i dostępności zarówno samego systemu, jak i powiązanych zasobów sieciowych (SC:H/SI:H/SA:H). Może to prowadzić do nieuprawnionego dostępu do infrastruktury kontroli dostępu fizycznego, modyfikacji jej konfiguracji lub wykorzystania urządzeń jako punktu wejścia do sieci wewnętrznej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://azure-access.com/security-advisories). Do czasu aktualizacji firmware należy niezwłocznie zmienić domyślne dane uwierzytelniające na silne, unikalne hasła, ograniczyć dostęp sieciowy do urządzeń za pomocą firewall lub segmentacji sieci oraz wyłączyć dostęp zdalny, jeśli nie jest wymagany.

Azure-Access BLU-IC2 z firmware w wersji do 1.19.5 włącznie oraz Azure-Access BLU-IC4 z firmware w wersji do 1.19.5 włącznie.