CVE-2015-2907
Publiée le 2015-08-23 · Dernière modification le 2026-06-17
Les dongles OBD-II C4 pour appareils mobiles (utilisés dans des produits tels que Metromile Pulse) avec les firmwares 2.x ou 3.4.x utilisent un nom d'utilisateur et un mot de passe SSH codés en dur. Un attaquant ayant un accès réseau peut utiliser ces identifiants universels pour obtenir un contrôle administratif complet de l'appareil. Comme les informations de connexion sont statiques et connues, cet exploit est facile à exécuter une fois que l'appareil est accessible via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Mobile Devices (aka MDI) C4 OBD-II dongles with firmware 2.x and 3.4.x, as used in Metromile Pulse and other products, have hardcoded SSH credentials, which makes it easier for remote attackers to obtain access by leveraging knowledge of the required username and password.