CVE-2025-46018 – CSC Pay मोबाइल ऐप भुगतान प्रमाणीकरण बाईपास

सारांश

CSC Pay मोबाइल ऐप में एक भुगतान प्रमाणीकरण बाईपास कमजोरी पाई गई, जो संस्करण 2.19.4 को प्रभावित करती है। इस खामी ने हमलावर को भुगतान शुरू करने, प्रक्रिया में एक विशिष्ट बिंदु पर ब्लूटूथ को अक्षम करने, और बिना शुल्क के एक वाशिंग मशीन चालू करने की अनुमति दी।

इस समस्या की जिम्मेदाराना तरीके से जानकारी दी गई है और अब इसे CVE-2025-46018 के रूप में ट्रैक किया जा रहा है।

---

प्रभावित उत्पाद

• उत्पाद: CSC Pay मोबाइल ऐप
• संस्करण: 2.19.4 (संस्करण 2.20.0 में ठीक किया गया)
• घटक: ब्लूटूथ भुगतान प्रमाणीकरण मॉड्यूल
• विक्रेता: CSC ServiceWorks

---

कमजोरी का प्रकार

• CWE-284: अनुचित पहुंच नियंत्रण
• CVSS (अनुमानित): मध्यम गंभीरता
• शोषण प्रकार: स्थानीय – मशीन के निकटता की आवश्यकता

---

हमला वेक्टर (उच्च-स्तरीय)

1. हमलावर मोबाइल ऐप के माध्यम से भुगतान शुरू करता है और वाशिंग मशीन पर QR कोड स्कैन करता है।
2. ऐप के ब्लूटूथ प्रमाणीकरण पूरा करने और उपयोगकर्ता से शुल्क लेने से पहले, ब्लूटूथ जानबूझकर अक्षम कर दिया जाता है।
3. कोई लेन-देन पूरा न होने के बावजूद मशीन चक्र शुरू कर देती है।

प्रभाव: भुगतान के बिना मशीनों का अनधिकृत उपयोग, संभावित राजस्व हानि, और सार्वजनिक/साझा वातावरण में दुरुपयोग।

---

समयरेखा

तिथि	घटना
13 अप्रैल, 2025	कमजोरी की खोज
16 अप्रैल, 2025	CSC ServiceWorks को रिपोर्ट किया गया
4 जून, 2025	MITRE द्वारा CVE-2025-46018 निर्धारित
जुलाई 2025	विक्रेता ने समस्या ठीक होने की पुष्टि की
संस्करण 2.20.0	ऐप अपडेट में समस्या हल की गई

---

स्वीकृति

खोजकर्ता: Niranjan Gaire

• CSC ServiceWorks सुरक्षा हॉल ऑफ फ़ेम
• MITRE CVE रिकॉर्ड – CVE-2025-46018

---

अस्वीकरण

यह भंडार केवल दस्तावेज़ीकरण और जिम्मेदार प्रकटीकरण उद्देश्यों के लिए है।
कोई शोषण कोड या पुनरुत्पादन चरण सार्वजनिक रूप से साझा नहीं किए जाएंगे।