CVE-2025-64097 in nerves_hub_web
要約
〜によって VulDB • 2026年06月18日
NervesHubは、現場のデバイスに対するオーバー・ザ・エア（OTA）ファームウェアアップデートをユーザーが管理できるWebサービスです。バージョン1.0.0から2.3.0未満までのバージョンに存在する脆弱性により、攻撃者は以前発行されたトークンの予測可能な形式を利用して、ユーザーAPIトークンに対してブルートフォースアタックを行うことができました。これらのトークンはユーザーの識別に関連する要素を含んでおり、暗号学的に安全ではなかったため、推測や列挙の対象となりやすかったです。この脆弱性は、これらのトークンによって保護されているユーザーアカウントまたはAPIアクションへの不正アクセスを可能にする可能性があります。修正はNervesHubバージョン2.3.0で利用可能です。このバージョンでは、`:crypto.strong_rand_bytes/1`を使用した強力な暗号学的ランダムトークンの導入、データベースに保存する前にトークンをハッシュ化して万が一データベースが侵害された場合でも悪用を防ぐ仕組み、およびセッショントークンとAPIトークンを区別するためのコンテキスト対応のトークンストレージが含まれています。この問題に対する実用的な回避策はアップグレード以外にはありません。機密性の高い環境では、一時的な緩和策として、NervesHubサーバーへのアクセスをファイアウォールで制限することが、アップグレードが可能になるまで暴露範囲を縮小するのに役立ちます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.