关键漏洞信息 漏洞概述 日期: 2025年7月25日 厂商: Johnson Controls, Inc 受影响产品: - iSTAR Ultra - iSTAR Ultra SE - iSTAR Ultra G2 受影响固件: 因漏洞而异，等待厂商确认具体版本。 漏洞详情 1. 未授权访问门配置和徽章数据 - CVE编号: CVE-2024-32752 - CVSS评分: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) - 描述: 未授权访问门配置和徽章数据。影响所有iSTAR Pro型号和iSTAR Ultra 6.6.8之前的版本。 2. 通过HTTP进行身份验证的命令注入 - CVE编号: CVE-2025-53695 - CVSS评分: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) - 描述: 通过HTTP进行身份验证的命令注入，可能导致以'root'权限执行代码。 3. 固件完整性检查不完整 - CVE编号: CVE-2025-53696 - CVSS评分: 6.7 (AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) - 描述: 固件完整性检查不完整，可能被利用修改固件。 4. 硬编码的'root'凭据 - CVE编号: CVE-2025-53697 - CVSS评分: 8.4 (AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) - 描述: 硬编码的'root'凭据可能被滥用，允许默认启用root登录。 5. 串行控制台后门 - CVE编号: CVE-2025-53698 - CVSS评分: 6.8 (AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) - 描述: 在旧固件中提供立即的'root'访问和硬件访问，在新固件中可能修改引导加载程序以提供root访问。 6. USB控制台后门 - CVE编号: CVE-2025-53699 - CVSS评分: 6.8 (AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) - 描述: 可能与硬编码的'root'凭据结合使用，提供对命令行的访问。 7. 固件包含软件签名密钥 - CVE编号: CVE-2025-53700 - CVSS评分: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) - 描述: 固件包含用于签署Tyco NVR产品的软件包和固件更新的秘密密钥，允许攻击者签署恶意更新。 ``` 这些信息总结了关键的漏洞及其潜在影响，包括CVE编号、CVSS评分和简要描述。