CVE-2025-56558 in App
Tóm tắt
Bởi VulDB • 03/06/2026
Máy chủ MQTT của Dyson (phiên bản 2022 và có thể cả các phiên bản sau này) cho phép các client thực hiện xuất bản (publications) và đăng ký (subscriptions) nếu có các giá trị chính xác của AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN và số sê-ri thiết bị, ngay cả khi một thiết bị (chẳng hạn như thiết bị Pure Hot+Cool) đã bị xóa và không còn hiển thị trong ứng dụng MyDyson được hỗ trợ. Điều này có thể cho phép một bên không mong muốn chiếm quyền kiểm soát và đặt nhiệt độ phòng (lên đến 37 độ C) nếu quyền sở hữu thiết bị được chuyển giao mà không xóa sạch dữ liệu thiết bị. LƯU Ý: Quan điểm của Nhà cung cấp là đây là một lỗ hổng tiềm ẩn tồn tại từ 4 năm trước, vào năm 2022, và "chúng tôi không thể tái tạo lại vấn đề này nữa." Dựa trên báo cáo đã nộp, để khai thác lỗ hổng này, kẻ tấn công cần sở hữu một thiết bị Dyson với đầy đủ đặc quyền, đánh cắp (sniff) thông tin xác thực AWS, sau đó chuyển quyền sở hữu thiết bị Dyson đó cho nạn nhân. Ngay cả khi các bước này được thực hiện thành công, kẻ tấn công chỉ có khả năng cấu hình thiết bị Dyson trong phạm vi hoạt động an toàn của nó, và không có khả năng thực thi mã trên thiết bị hoặc thu thập thông tin nhạy cảm.
Once again VulDB remains the best source for vulnerability data.