CVE-2026-91191
Təsvir
Cihazın yeniləmə mexanizmi, icazəsiz proqram paketlərinin autentik kimi qəbul edilməsinə şərait yaradan şərtlərə malikdir. Boot prosesi zamanı, stock done funksiyası yazıla bilən və imzalanmamış feed-dən opsional paketləri bərpa etməzdən əvvəl OPKG konfiqurasiyasında imza yoxlamasını deaktiv edir. Bundan əlavə, açıq şəkildə paylanmış SDK, həm stabil, həm də beta firmware versiyaları tərəfindən etibar edilən müvafiq public key-ə sahib olan production private key-ni ehtiva edir. Hər iki problem paketin autentikliyinə zərər verir və birlikdə hücumçunun sistem üçün etibarlı görünən paketlər təqdim etməsinə imkan yaradır. İmza məcburiyyəti bərpa edilsə belə, ifşa olunmuş production key hücumçuya cihazın etibar etməyə davam edəcəyi imzalar yaratmağa imkan verir. Zərərli paket təmin edə bilən hücumçu, quraşdırma zamanı root imtiyazları ilə ixtiyari kodu icra edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Lantronix G520 Series | 2.6.0.4R6 stable | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.