Heimdall Security Logo

CVE-2025-34500

Vulnérabilité élevée dans Deck Mate 2 (Light & Wonder, Inc. / SHFL Entertainment, Inc. / Shuffle Master, Inc.)

CVSS 7.0 · Élevée
EPSS 0.1%
Light & Wonder, Inc. / SHFL Entertainment, Inc. / Shuffle Master, Inc.•Deck Mate 2•Versions : 0, <all known versions prior to 2025-10-23

Description

Deck Mate 2's firmware update mechanism accepts packages without cryptographic signature verification, encrypts them with a single hard-coded AES key shared across devices, and uses a truncated HMAC for integrity validation. Attackers with access to the update interface - typically via the unit's USB update port - can craft or modify firmware packages to execute arbitrary code as root, allowing persistent compromise of the device's integrity and deck randomization process. Physical or on-premises access remains the most likely attack path, though network-exposed or telemetry-enabled deployments could theoretically allow remote exploitation if misconfigured. The vendor confirmed that firmware updates have been issued to correct these update-chain weaknesses and that USB update access has been disabled on affected units.

Gravité et risque d'exploitation

CVE-2025-34500 obtient un score CVSS de 7.0/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.15 %, ce qui la place devant 3.8 % des CVE référencées.

Que faire ?

  • Vérifiez si Deck Mate 2 (versions 0, <all known versions prior to 2025-10-23) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE