Im Rahmen einer Sicherheitsüberprüfung wurden 0day Schwachstellen in den Backöfen V-Zug Combi-Steam MSLQ gefunden. Diese reichen von fehlender Authentisierung und Verschlüsselung bis hin zu CSRF-Möglichkeiten. Der Hersteller wurde im Mai 2018 frühzeitig über das Problem informiert. Die am Internet betriebenen Geräte wurden im Laufe des Jahres automatisch auf die Versionen R7 (Ethernet-Version, Sommer 2019) und R5 (WLAN-Version, Januar 2019) aktualisiert. Diese und andere Aspekte werden durch dieses Update erfolgreich korrigiert.

• CVE-2019-17215 – V-Zug Combi-Steam MSLQ Password Policy schwache Authentisierung
• CVE-2019-17216 – V-Zug Combi-Steam MSLQ Password Storage MD5 schwache Verschlüsselung
• CVE-2019-17217 – V-Zug Combi-Steam MSLQ Cross Site Request Forgery
• CVE-2019-17218 – V-Zug Combi-Steam MSLQ HTTP schwache Verschlüsselung
• CVE-2019-17219 – V-Zug Combi-Steam MSLQ schwache Authentisierung
• V-Zug Combi-Steam MSLQ API unbekannte Schwachstelle

Links

• https://vuldb.com/de/?id.134115
• https://vuldb.com/de/?id.134116
• https://vuldb.com/de/?id.134117
• https://vuldb.com/de/?id.140463
• https://vuldb.com/de/?id.140464
• https://www.vzug.com/view/ch/de/product/ch-Catalog/2307310003

Tags