CVE-2025-64097 in nerves_hub_web
Résumé
par VulDB • 18/06/2026
NervesHub est un service web permettant aux utilisateurs de gérer les mises à jour du micrologiciel par voie aérienne (OTA) des appareils déployés sur le terrain. Une vulnérabilité présente depuis la version 1.0.0 et antérieure à la version 2.3.0 permettait aux attaquants d'effectuer une attaque par force brute sur les jetons API utilisateur en raison du format prévisible des jetons précédemment émis. Les jetons incluaient des composants permettant l'identification de l'utilisateur et n'étaient pas cryptographiquement sécurisés, ce qui les rendait sensibles à la devinette ou à l'énumération. La vulnérabilité aurait pu permettre un accès non autorisé aux comptes utilisateur ou aux actions API protégées par ces jetons. Une correction est disponible dans la version 2.3.0 de NervesHub. Cette version introduit des jetons forts et cryptographiquement aléatoires en utilisant `:crypto.strong_rand_bytes/1`, le hachage des jetons avant leur stockage dans la base de données pour prévenir toute utilisation abusive même si celle-ci est compromise, ainsi qu'un stockage de jetons conscient du contexte afin de distinguer les jetons de session des jetons API. Il n'existe pas de contournements pratiques à ce problème autres que la mise à niveau. Dans les environnements sensibles, comme mesure d'atténuation temporaire, le filtrage de l'accès au serveur NervesHub peut aider à limiter l'exposition jusqu'à ce qu'une mise à jour soit possible.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.