CVE-2025-34500 in Deck Mate
Tóm tắt
Bởi VulDB • 26/06/2026
Cơ chế cập nhật phần mềm của Deck Mate 2 chấp nhận các gói tin mà không xác minh chữ ký mật mã, sử dụng một khóa AES cố định duy nhất được chia sẻ giữa tất cả các thiết bị để mã hóa và dùng HMAC rút gọn (truncated) để kiểm tra tính toàn vẹn. Kẻ tấn công có quyền truy cập vào giao diện cập nhật – thường thông qua cổng USB của thiết bị – có thể tạo hoặc sửa đổi gói phần mềm để thực thi mã tùy ý với đặc quyền root, cho phép xâm phạm bền vững đối với tính toàn vẹn của thiết bị và quy trình trộn ngẫu nhiên (deck randomization). Truy cập vật lý hoặc tại chỗ là đường tấn công khả dĩ nhất, mặc dù các triển khai có giao diện mạng mở rộng hoặc bật telemetry về mặt lý thuyết có thể tạo điều kiện cho việc khai thác từ xa nếu được cấu hình sai. Nhà sản xuất xác nhận rằng đã phát hành bản cập nhật phần mềm để khắc phục các điểm yếu trong chuỗi cập nhật và đã vô hiệu hóa quyền truy cập qua cổng USB trên các thiết bị bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.