CVE-2025-12478

Podatność wynika z zastosowania w urządzeniach konfiguracji TLS niespełniającej aktualnych standardów bezpieczeństwa (CWE-326). Oznacza to, że użyte algorytmy kryptograficzne, długości kluczy lub parametry negocjacji połączenia są niewystarczające. Atakujący zdalny, bez uwierzytelnienia i bez specjalnych warunków wstępnych, może potencjalnie przeprowadzić atak na warstwę szyfrowania komunikacji urządzenia. Skutkuje to narażeniem poufności, integralności i dostępności zarówno samego urządzenia, jak i systemów z nim powiązanych.

Atakujący może uzyskać dostęp do poufnych danych przesyłanych przez urządzenie, manipulować komunikacją lub zakłócić działanie urządzenia i połączonych z nim systemów. Maksymalny wynik CVSS 10.0 wskazuje na pełen wpływ na poufność, integralność i dostępność zarówno w zakresie samego urządzenia, jak i systemów otoczenia.

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://azure-access.com/security-advisories. Zaleca się niezwłoczną aktualizację firmware urządzeń BLU-IC2 i BLU-IC4 do wersji wyższej niż 1.19.5, gdy tylko stanie się dostępna. Do czasu wdrożenia poprawki rekomenduje się izolację urządzeń w sieci oraz ograniczenie dostępu do nich wyłącznie do zaufanych segmentów sieciowych.

Azure-Access BLU-IC2 we wszystkich wersjach firmware do 1.19.5 włącznie oraz Azure-Access BLU-IC4 we wszystkich wersjach firmware do 1.19.5 włącznie.