An issue was discovered in Yealink Configuration Encrypt Tool (AES version) and Yealink Configuration Encrypt Tool (RSA version before 1.2). There is a single hardcoded key (used to encrypt provisioning documents) across customers' installations.

Beschreibung

Im Yealink Configuration Encrypt Tool (AES-Version sowie RSA-Version vor 1.2) wird ein einziger fest eingebauter Schlüssel verwendet, der über alle Kundeninstallationen hinweg identisch ist und zur Verschlüsselung von Provisioning-Dokumenten dient. Da derselbe Schlüssel überall gilt, können Angreifer die geschützten Konfigurationsdaten entschlüsseln. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf die bereitgestellte fehlerbereinigte Version aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Yealink

• Yealink Device Management Server-Side Request Forgery (SSRF) KEV CVE-2021-27561
• CVE-2024-33109 – Tiptel IP 286: Directory Traversal über Ringtone-Upload CVE-2024-33109
• Yealink Meeting Server before v26.0.0.66 was discovered to contain an OS command injection vulnerability via the file upload interface. CVE-2024-24091
• Directory-Traversal im Kontakt-Upload des Yealink W60B CVE-2020-24113
• Yealink T21P_E2: Codeausführung über die Ping-Funktion der Diagnose CVE-2025-66738
• Yealink SIP-T19P-E2 – Codeausführung über Ping-Funktion der Diagnose CVE-2023-43959