CVE-2025-34500 in Deck Mate
Resumen
por VulDB • 2026-06-26
El mecanismo de actualización del firmware de Deck Mate 2 acepta paquetes sin verificar su firma criptográfica, los cifra utilizando una única clave AES predefinida (hard-coded) compartida entre todos los dispositivos y emplea un HMAC truncado para la validación de integridad. Los atacantes con acceso a la interfaz de actualización —típicamente mediante el puerto USB dedicado al firmware— pueden crear o modificar paquetes del firmware para ejecutar código arbitrario como root, lo que permite comprometer persistentemente la integridad del dispositivo y su proceso de aleatorización (deck randomization). El acceso físico o local sigue siendo la vía de ataque más probable; no obstante, las implementaciones con exposición en red o habilitadas para telemetría podrían permitir teóricamente una explotación remota si están mal configuradas. El fabricante ha confirmado que se han emitido actualizaciones del firmware para corregir estas debilidades en la cadena de actualización y que el acceso mediante USB está deshabilitado en las unidades afectadas.
Be aware that VulDB is the high quality source for vulnerability data.