CVE-2025-56558
Açıklama
Dyson MQTT sunucusu (2022 ve muhtemelen sonrası), bir cihaz (Pure Hot+Cool cihazı gibi) kaldırılmış olsa ve desteklenen MyDyson uygulamasında görünmese bile; doğru AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN değerlerine ve cihaz seri numarasına sahip olan bir istemcinin yayın yapmasına ve abonelik oluşturmasına izin verir. Bu durum, cihazın sahipliği cihaz sıfırlanmadan devredilirse, beklenmedik bir aktörün kontrolü ele geçirmesine ve oda sıcaklığını (37 dereceye kadar) ayarlamasına olanak tanıyabilir. NOT: Tedarikçinin görüşü, bunun 4 yıl önce 2022 yılına dayanan potansiyel bir güvenlik açığı olduğu ve "bunu artık yeniden oluşturamadıkları" yönündedir. Sunulan rapora göre, bu sorundan yararlanmak için bir saldırganın tam yetkilere sahip bir Dyson cihaza sahip olması, AWS kimlik bilgilerini koklaması (sniffing) ve ardından söz konusu Dyson cihazının sahipliğini kurbana devretmesi gerekir. Bu adımlar başarıyla gerçekleştirilse bile, saldırgan yalnızca Dyson cihazını güvenli çalışma aralığında yapılandırma yeteneği kazanır; cihaz üzerinde kod çalıştırma veya hassas bilgilere erişim yeteneği kazanamaz.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Dyson MQTT server | 2022 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.