Marton Illes

**Nome do software vulnerável e versões afetadas: Dispositivos Fibaro Home Center 2 e Lite com versão de firmware 4.600 e anteriores Descrição: O problema diz respeito aos dispositivos Fibaro Home Center 2 e Lite que iniciam conexões SSH com a nuvem Fibaro para acesso remoto e suporte. Essa conexão é vulnerável à interceptação por meio de um ataque de spoofing de DNS, permitindo que um invasor use um canal de redirecionamento de porta remoto iniciado pelo dispositivo para se conectar à interface de gerenciamento web. Para realizar outras ações, é necessário conhecer as credenciais de autorização para a interface de gerenciamento. Recomendações: Para a versão de firmware 4.600 e anteriores, atualize para uma versão posterior à 4.600 para resolver o problema. Como solução temporária, considere restringir o acesso à interface de gerenciamento web até que um patch esteja disponível. Evite usar o canal de redirecionamento de porta remoto iniciado pelo dispositivo para acesso remoto e suporte até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas: Fibaro Home Center 2 e Lite, versões 4.600 e anteriores Descrição: O problema diz respeito a um serviço de gerenciamento interno acessível na porta 8000, onde determinados pontos de extremidade da API podem ser acessados sem autenticação. Isso permite ações não autorizadas, como acionar um desligamento, uma reinicialização ou uma reinicialização no modo de recuperação. Recomendações: Para o Fibaro Home Center 2 e Lite versões 4.600 e anteriores, atualize para uma versão posterior à 4.600 para resolver o problema. Como solução temporária, considere restringir o acesso à porta 8000 para minimizar o risco de exploração. Evite usar pontos de extremidade da API que possam acionar o desligamento, a reinicialização ou a reinicialização no modo de recuperação sem a devida autenticação até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas: Fibaro Home Center 2 e Lite, versões 4.540 e anteriores Descrição: A vulnerabilidade permite que um usuário autenticado execute comandos como usuário root devido a uma vulnerabilidade de injeção de comando. Recomendações: Para o Fibaro Home Center 2 e Lite versões 4.540 e anteriores, atualize para uma versão posterior à 4.540 para resolver o problema.

**Nome do software vulnerável e versões afetadas: Dispositivos Fibaro Home Center 2 e Lite (versões afetadas não especificadas) Descrição: O problema diz respeito ao uso de um protocolo HTTP não criptografado para a interface de gerenciamento baseada na web. Isso permite que a comunicação entre o usuário e o dispositivo seja interceptada, podendo levar ao sequestro de sessões, tokens e senhas. Recomendações: Para todas as versões dos dispositivos Fibaro Home Center 2 e Lite, considere desativar a interface de gerenciamento baseada na web até que um método de conexão seguro e criptografado seja implementado. Restrinja o acesso à interface de gerenciamento do dispositivo para minimizar o risco de exploração. Como solução temporária, evite usar a interface de gerenciamento em redes não seguras. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.