CVE-2025-64097 in nerves_hub_web
Resumen
por VulDB • 2026-06-01
NervesHub es un servicio web que permite a los usuarios gestionar actualizaciones de firmware por aire (OTA) de dispositivos en el campo. Una vulnerabilidad presente desde la versión 1.0.0 y anterior a la versión 2.3.0 permitía a los atacantes realizar ataques de fuerza bruta contra los tokens de API de los usuarios debido al formato predecible de los tokens emitidos anteriormente. Los tokens incluían componentes identificables del usuario y no eran criptográficamente seguros, lo que los hacía susceptibles de ser adivinados o enumerados. La vulnerabilidad podría haber permitido el acceso no autorizado a cuentas de usuario o acciones de API protegidas por estos tokens. Una solución está disponible en la versión 2.3.0 de NervesHub. Esta versión introduce tokens fuertemente aleatorios criptográficamente utilizando `:crypto.strong_rand_bytes/1`, el hash de los tokens antes de su almacenamiento en la base de datos para prevenir su uso indebido incluso si la base de datos se ve comprometida, y un almacenamiento de tokens consciente del contexto para distinguir entre tokens de sesión y tokens de API. No hay soluciones alternativas prácticas para este problema que no sean actualizar. En entornos sensibles, como mitigación temporal, el filtrado de acceso al servidor NervesHub mediante firewall puede ayudar a limitar la exposición hasta que sea posible realizar una actualización.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.