BDU:2025-05299

Опубликовано: 06 мая 2025

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Низкий

Описание

Уязвимость системы управления видеоконференцсвязью Crestron Automate VX связана с передачей учетных данных в незашифрованном виде. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть передаваемые учетные данные и получить несанкционированный доступ к системе

Вендор

Crestron Electronics Inc

Наименование ПО

Automate VX

Версия ПО

от 5.6.8161.21536 до 6.4.1.8 (Automate VX)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Критический уровень опасности (оценка CVSS 4.0 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование зашифрованных каналов связи для передачи данных;

- сегментирование сети с целью ограничения доступа к веб-интерфейсу управления уязвимого программного обеспечения из других подсетей;

- ограничение доступа к устройству из внешних сетей (Интернет);

- смена учетных данных в случае выявления факта их компрометации;

- использование DLP-систем для предотвращения утечки учетных данных.

Использование рекомендаций:

https://www.crestron.com/Software-Firmware/Software/Automate-VX-Software

Обновление программного обеспечения до актуальной версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-47419
CVE

EPSS

Процентиль: 15%

0.00049

Низкий

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-47419

nvd

9 месяцев назад

Cleartext Transmission of Sensitive Information vulnerability in Crestron Automate VX allows Sniffing Network Traffic. The device allows Web UI and API access over non-secure network ports which exposes sensitive information such as user passwords. This issue affects Automate VX: from 5.6.8161.21536 through 6.4.0.49.

GHSA-49xp-c6gp-qwww

github

9 месяцев назад

EPSS

Процентиль: 15%

0.00049

Низкий

10 Critical

CVSS3

10 Critical

CVSS2