Dominik Schneider

تتشارك أجهزة متعددة نفس مفاتيح التشفير الخاصة بـ SDKSocket، الذي يستخدم المنفذ TCP 5000. قد يؤدي ذلك إلى وصول غير مصرح به أو اختراق الأجهزة التي تستخدم قناة الاتصال هذه.

الملف ’/etc/avahi/services/z9.service‘ معرض لعمليات الكتابة التعسفية. وهذا يسمح بتعديل الملف دون إذن.

يمكن الكتابة في ملف `/etc/timezone` بشكل تعسفي. وهذا يتيح إمكانية تعديل إعدادات المنطقة الزمنية على مستوى النظام بأكمله.

توجد حالة رفض الخدمة بسبب هجمات SlowLoris. ويؤثر ذلك على توفر الأنظمة المتأثرة.

يوجد خلل في واجهة المستخدم على الويب (Web UI) عند تعيين لغة غير متوقعة عبر واجهة برمجة التطبيقات (API). تتعلق المشكلة بتعيين لغة عبر استدعاء واجهة برمجة التطبيقات (API)، مما يؤدي إلى خلل في واجهة المستخدم على الويب (Web UI). لم يتم تحديد نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة. لم يتم تحديد المعلمة أو المتغير المعرض للخطر.

تم تعطيل التحقق من شهادة خادم البريد الإلكتروني، مما يتيح شن هجمات «الرجل في الوسط» (MITM) بسهولة. وهذا يمثل خطرًا أمنيًا كارثيًا.

لا يحتوي البرنامج على رؤوس أمان. وقد يتيح ذلك إمكانية شن هجمات متنوعة، على الرغم من عدم توفر تفاصيل محددة.

يعاني البرنامج من سياسة كلمات مرور غير كافية. وهذا يسمح باستخدام كلمات مرور ضعيفة أو يسهل توقعها، مما قد يعرض أمن الحساب للخطر.

لا تعكس صفحة الشكر والتقدير المعروضة في البرنامج الثابت بدقة الإصدارات المستخدمة.

يعاني البرنامج من نقص في معالجة الأخطاء بشكل سليم، مما يؤدي إلى ظهور أخطاء HTTP 5xx.

يحتوي البرنامج على أخطاء داخلية منهجية في الخادم، مما يؤدي إلى ظهور استجابات HTTP 500.

البرنامج معرض لمشكلة تتعلق بانعدام المصادقة على الموارد. وهذا يسمح بالوصول غير المصرح به إلى الموارد.

يوجد خلل منهجي في تنفيذ رموز التحقق الخاصة بـ «تزوير الطلبات عبر المواقع» (CSRF). هذا الغياب التام لوسائل الحماية من CSRF في وحدات التحكم BLU-IC يسمح بالاستيلاء على الحساب والتلاعب بالنظام بسهولة تامة. التزوير عبر المواقع (CSRF) هو نوع من الثغرات الأمنية على الويب التي تسمح للمهاجم بحث المستخدم على تنفيذ إجراءات في تطبيق ويب يكون المستخدم مسجلاً الدخول إليه في ذلك الوقت.

يحتوي البرنامج على إعدادات TLS غير متوافقة.

يكشف البرنامج عن معلومات الإصدار الخاصة به. وقد يتيح ذلك للمهاجمين جمع معلومات عن النظام لاستهدافه باستغلالات محددة.

يوجد ثغرة أمنية قد يؤدي التلاعب بالبروتوكول من خلالها إلى حدوث هجوم رفض الخدمة.

تتعلق هذه المشكلة برفع مستوى الامتيازات المحلية. يتيح البرنامج المتأثر للمهاجم الحصول على امتيازات عالية في النظام. في الوقت الحالي، لا توجد معلومات عن عدد الأجهزة التي قد تكون متأثرة في جميع أنحاء العالم أو عن أي حوادث فعلية تم فيها استغلال هذه المشكلة.

يحتوي البرنامج على مشكلة تتعلق بتصعيد الصلاحيات ناجمة عن ملف ثنائي يحتوي على بت SUID. وهذا يتيح إمكانية الوصول والتحكم غير المصرح بهما داخل النظام.

يوجد خلل في وظيفة التحديث قد يسمح بتسجيل الملفات بشكل تعسفي، مما قد يؤدي إلى منح صلاحيات المستخدم المتميز على الجهاز.

يتم تضمين رسائل الخطأ في رأس HTTP.