An issue was discovered in UCI IDOL 2 (aka uciIDOL or IDOL2) through 2.12. Data is sent between client and server with encryption. However, the key is derived from the string "(c)2007 UCI Software GmbH B.Boll" (without quotes). The key is both static and hardcoded. With access to messages, this results in message decryption and encryption by an attacker. Thus, it enables passive and active man-in-the-middle attacks.
CVSS Vector
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:NUci Idol2
APPUci≤ 2.12
🔵
CHECK WITH VENDOR
No clear patch data available. Check vendor references.
CWE
Related vulnerabilities
CVE-2024-45166CRITICAL9.8PL ✓ten sam produkt
RCE i DoS w UCI IDOL 2 przez błędną deserializację i przepełnienie bufora
CVE-2024-45167CRITICAL9.8PL ✓ten sam produkt
RCE i DoS w UCI IDOL 2 przez improper input validation i deserializację
CVE-2024-45168CRITICAL9.1PL ✓ten sam produkt
UCI IDOL 2: brak uwierzytelnienia w komunikacji przez raw socket
CVE-2024-45169CRITICAL9.8PL ✓ten sam produkt
RCE i DoS w UCI IDOL 2 przez nieprawidłową deserializację i walidację danych