Loxone Miniserver 授权问题漏洞

CVE编号

CVE-2020-27488

利用情况

暂无

补丁情况

N/A

披露时间

2021-01-14

漏洞描述

Loxone Miniserver是美国Loxone公司的一个可对楼宇、房屋中设备、家居进行自动化提供能源管理、监控等功能的服务器。
Loxone Miniserver 11.1.9.3版本之前存在授权问题漏洞，该漏洞源于设备无法使用基于“升级包签名”的身份验证方法，这些设备可以在未确定的时间段内继续使用未经身份验证的云服务。一旦单个设备的固件更新，身份验证进行了一次，云服务就会重新对设备进行分类，以便随后总是需要身份验证，并且未能会发生欺骗。目前没有详细漏洞细节提供。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://www.loxone.com/enen/security-cloud-dns/

参考链接
https://iot-lab-fh-ooe.github.io/loxone_clouddns_schwachstelle/
https://iot-lab-fh-ooe.github.io/loxone_clouddns_vulnerability/
https://www.loxone.com/dede/sicherheit-cloud-dns/
https://www.loxone.com/enen/security-cloud-dns/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	loxone	miniserver_gen_1_firmware	*		Up to (excluding) 11.1.9.3
	运行在以下环境
	硬件	loxone	miniserver_gen_1	-	-

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-287 认证机制不恰当