CVE-2026-91191
Açıklama
Cihazın güncelleme mekanizması, yetkisiz yazılım paketlerinin orijinal olarak kabul edilmesine izin veren koşullar içermektedir. Önyükleme işlemi sırasında, stock done fonksiyonu, yazılabilir ve imzalanmamış bir beslemeden isteğe bağlı paketleri geri yüklemeden önce OPKG yapılandırmasındaki imza doğrulamasını devre dışı bırakmaktadır. Ayrı olarak, halka açık dağıtılan SDK, karşılık gelen genel anahtarı hem kararlı hem de beta aygıt yazılımı sürümleri tarafından güvenilen üretim özel anahtarını içermektedir. Her iki sorun da paket orijinalliğini zayıflatmakta ve birlikte, bir saldırganın sistem tarafından geçerli görünen paketler sunmasına olanak tanımaktadır. İmza zorunluluğu geri yüklense bile, açığa çıkan üretim anahtarı, bir saldırganın cihazın güvenmeye devam edeceği imzalar oluşturmasını sağlar. Kötü amaçlı bir paket sağlayabilen bir saldırgan, kurulum sırasında root ayrıcalıklarıyla rastgele kod çalıştırabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Lantronix G520 Series | 2.6.0.4R6 stable | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.