CVE-2024-52330

Опубликовано: 23 янв. 2025

Источник: nvd

CVSS3: 7.4

EPSS Низкий

Описание

ECOVACS lawnmowers and vacuums do not properly validate TLS certificates. An unauthenticated attacker can read or modify TLS traffic, possibly modifying firmware updates.

Ссылки

https://dontvacuum.me/talks/37c3-2023/37c3-vacuuming-and-mowing.pdf
Exploit
Third Party Advisory
https://dontvacuum.me/talks/HITCON2024/HITCON-CMT-2024_Ecovacs.pdf
Exploit
Third Party Advisory
https://www.ecovacs.com/global/userhelp/dsa20241217001
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одновременно

cpe:2.3:o:ecovacs:deebot_x2_omni_firmware:*:*:*:*:*:*:*:*

Версия до 1.76.6 (исключая)

cpe:2.3:h:ecovacs:deebot_x2_omni:-:*:*:*:*:*:*:*

Конфигурация 2

Одновременно

cpe:2.3:o:ecovacs:deebot_x2_combo_firmware:*:*:*:*:*:*:*:*

Версия до 1.81.10 (исключая)

cpe:2.3:h:ecovacs:deebot_x2_combo:-:*:*:*:*:*:*:*

Конфигурация 3

Одновременно

cpe:2.3:o:ecovacs:deebot_x2s_firmware:*:*:*:*:*:*:*:*

Версия до 1.49.0 (исключая)

cpe:2.3:h:ecovacs:deebot_x2s:-:*:*:*:*:*:*:*

Конфигурация 4

Одновременно

cpe:2.3:o:ecovacs:deebot_x5_pro_firmware:*:*:*:*:*:*:*:*

Версия до 1.70.0 (исключая)

cpe:2.3:h:ecovacs:deebot_x5_pro:-:*:*:*:*:*:*:*

Конфигурация 5

Одновременно

cpe:2.3:o:ecovacs:deebot_x5_pro_plus_firmware:*:*:*:*:*:*:*:*

Версия до 1.38.0 (исключая)

cpe:2.3:h:ecovacs:deebot_x5_pro_plus:-:*:*:*:*:*:*:*

Конфигурация 6

Одновременно

cpe:2.3:o:ecovacs:deebot_x5_pro_ultra_firmware:*:*:*:*:*:*:*:*

Версия до 1.17.0 (исключая)

cpe:2.3:h:ecovacs:deebot_x5_pro_ultra:-:*:*:*:*:*:*:*

Конфигурация 7

Одновременно

cpe:2.3:o:ecovacs:mate_x_firmware:*:*:*:*:*:*:*:*

Версия до 1.44.18 (исключая)

cpe:2.3:h:ecovacs:mate_x:-:*:*:*:*:*:*:*

Конфигурация 8

Одновременно

cpe:2.3:o:ecovacs:deebot_x1_omni_firmware:*:*:*:*:*:*:*:*

Версия до 2.4.41 (исключая)

cpe:2.3:h:ecovacs:deebot_x1_omni:-:*:*:*:*:*:*:*

Конфигурация 9

Одновременно

cpe:2.3:o:ecovacs:deebot_x1_turbo_firmware:*:*:*:*:*:*:*:*

Версия до 2.4.41 (исключая)

cpe:2.3:h:ecovacs:deebot_x1_turbo:-:*:*:*:*:*:*:*

Конфигурация 10

Одновременно

cpe:2.3:o:ecovacs:deebot_x1_pro_omni_firmware:*:*:*:*:*:*:*:*

Версия до 2.4.41 (исключая)

cpe:2.3:h:ecovacs:deebot_x1_pro_omni:-:*:*:*:*:*:*:*

Конфигурация 11

Одновременно

cpe:2.3:o:ecovacs:deebot_x1_firmware:*:*:*:*:*:*:*:*

Версия до 1.7.3 (исключая)

cpe:2.3:h:ecovacs:deebot_x1:-:*:*:*:*:*:*:*

Конфигурация 12

Одновременно

cpe:2.3:o:ecovacs:deebot_x1_plus_firmware:*:*:*:*:*:*:*:*

Версия до 1.7.3 (исключая)

cpe:2.3:h:ecovacs:deebot_x1_plus:-:*:*:*:*:*:*:*

Конфигурация 13

Одновременно

cpe:2.3:o:ecovacs:deebot_x1s_pro_firmware:*:*:*:*:*:*:*:*

Версия до 2.5.31 (исключая)

cpe:2.3:h:ecovacs:deebot_x1s_pro:-:*:*:*:*:*:*:*

Конфигурация 14

Одновременно

cpe:2.3:o:ecovacs:deebot_x1s_pro_plus_firmware:*:*:*:*:*:*:*:*

Версия до 1.23.0 (исключая)

cpe:2.3:h:ecovacs:deebot_x1s_pro_plus:-:*:*:*:*:*:*:*

Конфигурация 15

Одновременно

cpe:2.3:o:ecovacs:deebot_x1e_omni_firmware:*:*:*:*:*:*:*:*

Версия до 2.4.42 (исключая)

cpe:2.3:h:ecovacs:deebot_x1e_omni:-:*:*:*:*:*:*:*

Конфигурация 16

Одновременно

cpe:2.3:o:ecovacs:deebot_t10_turbo_firmware:*:*:*:*:*:*:*:*

Версия до 1.10.0 (исключая)

cpe:2.3:h:ecovacs:deebot_t10_turbo:-:*:*:*:*:*:*:*

Конфигурация 17

Одновременно

cpe:2.3:o:ecovacs:deebot_t10_plus_firmware:*:*:*:*:*:*:*:*

Версия до 1.7.5 (исключая)

cpe:2.3:h:ecovacs:deebot_t10_plus:-:*:*:*:*:*:*:*

Конфигурация 18

Одновременно

cpe:2.3:o:ecovacs:deebot_t10_firmware:*:*:*:*:*:*:*:*

Версия до 1.7.5 (исключая)

cpe:2.3:h:ecovacs:deebot_t10:-:*:*:*:*:*:*:*

Конфигурация 19

Одновременно

cpe:2.3:o:ecovacs:deebot_t10_omni_firmware:*:*:*:*:*:*:*:*

Версия до 1.9.0 (исключая)

cpe:2.3:h:ecovacs:deebot_t10_omni:-:*:*:*:*:*:*:*

Конфигурация 20

Одновременно

cpe:2.3:o:ecovacs:deebot_x2_pro_firmware:*:*:*:*:*:*:*:*

Версия до 1.76.6 (исключая)

cpe:2.3:h:ecovacs:deebot_x2_pro:-:*:*:*:*:*:*:*

EPSS

Процентиль: 30%

0.0011

Низкий

7.4 High

CVSS3

Дефекты

CWE-295

Связанные уязвимости

GHSA-m998-32q9-vxpx

CVSS3: 7.4

github

около 1 года назад

ECOVACS lawnmowers and vacuums do not properly validate TLS certificates. An unauthenticated attacker can read or modify TLS traffic, possibly modifying firmware updates.

EPSS

Процентиль: 30%

0.0011

Низкий

7.4 High

CVSS3

Дефекты

CWE-295