CVE-2025-12285

Podatność klasyfikowana jako CWE-521 (słaba polityka haseł) oraz CWE-20 (niewystarczająca walidacja danych wejściowych) polega na braku mechanizmu wymuszającego zmianę hasła fabrycznego/domyślnego po pierwszym zalogowaniu. Atakujący posiadający wiedzę o domyślnych poświadczeniach producenta może uzyskać dostęp do urządzenia bez żadnych dodatkowych warunków wstępnych, ponieważ dostęp jest możliwy bezpośrednio przez sieć bez uwierzytelnienia specjalnego rodzaju. Wektor ataku sieciowy (AV:N) przy braku wymagań co do złożoności (AC:L) i uprawnień (PR:N) czyni exploit trywialnym do przeprowadzenia.

Atakujący może uzyskać pełną kontrolę nad urządzeniem, w tym dostęp do poufnych danych, możliwość modyfikacji konfiguracji oraz potencjalny wpływ na systemy z nim powiązane, co w przypadku urządzeń kontroli dostępu może skutkować naruszeniem fizycznego bezpieczeństwa obiektu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://azure-access.com/security-advisories). Do czasu aktualizacji firmware należy niezwłocznie ręcznie zmienić domyślne hasło urządzenia na silne, unikalne hasło oraz ograniczyć dostęp sieciowy do urządzeń wyłącznie do zaufanych hostów (np. poprzez firewall lub segmentację sieci).

Azure-Access BLU-IC2 we wszystkich wersjach firmware do 1.19.5 włącznie oraz Azure-Access BLU-IC4 we wszystkich wersjach firmware do 1.19.5 włącznie.

Podatność dotyczy urządzeń kontroli dostępu (access control), co może bezpośrednio przekładać się na naruszenie fizycznego bezpieczeństwa obiektów. Pomimo braku publicznego exploitu i wpisu w CISA KEV, charakter produktu oraz maksymalny wynik CVSS 10.0 uzasadniają pilne działanie naprawcze.