Podatność w systemie zarządzania baterią Nuvation BMS umożliwia nieuwierzytelnionemu atakującemu ominięcie mechanizmów uwierzytelnienia. Ze względu na krytyczny wynik CVSS 9.3 i brak wymagań wstępnych (sieciowy dostęp, brak interakcji użytkownika), podatność stanowi poważne zagrożenie dla infrastruktury przemysłowej.
▸ Pokaż oryginał (EN)
A vulnerability in Nuvation Battery Management System allows Authentication Bypass.This issue affects Battery Management System: through 2.3.9.
Podatność sklasyfikowana jako CWE-603 (Use of Client-Side Authentication) oznacza, że mechanizm uwierzytelnienia jest realizowany po stronie klienta lub w sposób podatny na obejście bez posiadania prawidłowych poświadczeń. Atakujący zdalnie, bez żadnego uwierzytelnienia i bez interakcji użytkownika, może ominąć weryfikację tożsamości i uzyskać nieautoryzowany dostęp do systemu. Podatność dotyczy wszystkich wersji oprogramowania Battery Management System do wersji 2.3.9 włącznie.
Atakujący może uzyskać nieautoryzowany dostęp do systemu zarządzania baterią, co w konsekwencji może prowadzić do naruszenia poufności, integralności oraz dostępności systemu, a w środowisku przemysłowym — potencjalnie do zakłócenia pracy infrastruktury zasilania.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się izolację urządzeń BMS od publicznej sieci oraz ograniczenie dostępu sieciowego wyłącznie do zaufanych hostów do czasu wdrożenia aktualizacji. Więcej informacji w poradniku Dragos: https://www.dragos.com/community/advisories/CVE-2025-64119
Nuvation Battery Management System w wersjach do 2.3.9 włącznie.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:P/AU:Y/R:X/V:X/RE:X/U:X