CVE-2025-46408

AVTECH EagleEyes — pominięcie weryfikacji domeny TLS (ALLOW_ALL_HOSTNAME_VERIFIER)

CVSS 9.8v3.1pub. 2025-09-15upd. 2025-10-17

W aplikacji AVTECH EagleEyes 2.0.0 wykryto krytyczną podatność polegającą na całkowitym wyłączeniu walidacji nazwy hosta podczas połączeń HTTPS. Umożliwia to atakującemu przeprowadzenie ataku Man-in-the-Middle i przechwycenie lub zmodyfikowanie szyfrowanego ruchu sieciowego.

▸ Pokaż oryginał (EN)

An issue was discovered in the methods push.lite.avtech.com.AvtechLib.GetHttpsResponse and push.lite.avtech.com.Push_HttpService.getNewHttpClient in AVTECH EagleEyes 2.0.0. The methods set ALLOW_ALL_HOSTNAME_VERIFIER, bypassing domain validation.

🤖 Analiza AI

Jak działa

W metodach push.lite.avtech.com.AvtechLib.GetHttpsResponse oraz push.lite.avtech.com.Push_HttpService.getNewHttpClient aplikacja ustawia flagę ALLOW_ALL_HOSTNAME_VERIFIER, co całkowicie wyłącza weryfikację domeny podczas nawiązywania połączeń HTTPS. Oznacza to, że aplikacja zaakceptuje każdy certyfikat TLS niezależnie od tego, czy nazwa hosta na certyfikacie odpowiada rzeczywistemu serwerowi. Atakujący w tej samej sieci (np. publiczne Wi-Fi) może podstawić własny serwer TLS i przechwycić komunikację między aplikacją a docelowym serwerem push bez wykrycia przez użytkownika.

Skutki

Atakujący może przeprowadzić atak Man-in-the-Middle, uzyskując dostęp do poufnych danych przesyłanych przez aplikację (np. danych uwierzytelniających, obrazów z kamer) oraz potencjalnie modyfikować komunikację, co zagraża poufności i integralności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się unikanie korzystania z aplikacji w niezaufanych sieciach (publiczne Wi-Fi, sieci nieznanych operatorów).

Kogo dotyczy

AVTECH EagleEyes (Lite) w wersji 2.0.0

Uwagi

Podatność zgłoszona w repozytorium GitHub użytkownika shinyColumn. Podatność sklasyfikowana jako CWE-297 (Improper Validation of Certificate with Host Mismatch).