CVE-2025-54808

Oxford Nanopore Technologies-in 24.11 versiyası və ya daha əvvəlki versiyalarda olan MinKNOW proqram təminatı autentifikasiya tokenlərini host maşının sisteminin müvəqqəti kataloqunda (/tmp) yerləşən faylda saxlayır. Bu kataloq adətən hər kəs tərəfindən oxuna biləndir ki, bu da istənilən lokal istifadəçiyə və ya tətbiqə tokenə giriş imkanı verir. Əgər token sızdırılarsa (məsələn, zərərli proqramla yoluxma və ya digər lokal eksployt vasitəsilə) və uzaqdan giriş aktiv edilibsə, ondan sekvensatora icazəsiz uzaqdan bağlantılar qurmaq üçün istifadə edilə bilər. Uzaqdan eksploytasiyanın uğurlu olması üçün uzaqdan giriş aktiv olmalıdır. Bu, ya istifadəçinin legitim əməliyyat səbəbləri ilə uzaqdan girişi aktiv etməsi, ya da yüksək imtiyazlara malik (məsələn, sudo girişi) zərərli proqramın bunu istifadəçi razılığı olmadan aktiv etməsi nəticəsində baş verə bilər. Bu zəiflik, uzaq cihazdan developer tokeni yaratmaq üçün uzaqdan giriş imkanları ilə birləşdirilə bilər. Developer tokenləri istənilən vaxt bitmə tarixi ilə yaradıla bilər ki, bu da sekvensatora daimi girişi təmin edir və standart autentifikasiya mexanizmlərindən yan keçməyə imkan verir.