CVE-2015-2906
Publiée le 2015-08-23 · Dernière modification le 2026-06-17
Les dongles OBD-II de Mobile Devices C4 (utilisés dans Metromile Pulse et des produits similaires) utilisant le firmware 2.x ou 3.4.x sont livrés avec des clés privées SSH identiques sur toutes les installations. Un attaquant qui obtient la clé d'un appareil peut l'utiliser pour obtenir un accès administratif distant complet à tout autre appareil concerné via le réseau. Aucune interaction de l'utilisateur n'est requise, bien que l'attaquant doive posséder la clé partagée pour s'authentifier.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Mobile Devices (aka MDI) C4 OBD-II dongles with firmware 2.x and 3.4.x, as used in Metromile Pulse and other products, store SSH private keys that are the same across different customers' installations, which makes it easier for remote attackers to obtain access by leveraging knowledge of a private key from another installation.