CVE-2019-11063critical

CVE-2019-11063: falha crítica em ASUS SmartHome Android app

SmartHome application has a broken access control vulnerability in its Web API Server

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar SmartHome Android app+ Monitorar SmartHome ios app

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 10epss 3.9%
Em resumo

O aplicativo SmartHome tem uma falha de segurança que permite a qualquer pessoa na mesma rede WiFi ver contas de usuários e controlar dispositivos IoT sem precisar de senha. Isso significa que atacantes podem acessar e manipular seus dispositivos de casa inteligente.

Detalhe técnico

Uma vulnerabilidade de controle de acesso quebrado no SmartHome (Android ≤3.0.42_190515, iOS ≤2.0.22) permite acesso não autenticado ao endpoint /smarthome/devicecontrol via HTTP na rede local, possibilitando enumeração de contas e controle não autorizado de dispositivos através do gateway HG100. O vetor de ataque é pela rede com baixa complexidade; não requer autenticação ou interação do usuário; impacto abrange confidencialidade, integridade e disponibilidade do sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A broken access control vulnerability in SmartHome app (Android versions up to 3.0.42_190515, ios versions up to 2.0.22) allows an attacker in the same local area network to list user accounts and control IoT devices that connect with its gateway (HG100) via http://[target]/smarthome/devicecontrol without any authentication. CVSS 3.0 base score 10 (Confidentiality, Integrity and Availability impacts). CVSS vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H).
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
ASUS · SmartHome Android appASUS · SmartHome ios app