PT-2026-111595 · H3C · Hdm Family-A G5
CVSS v3.1
3.1
منخفضة
| المتجه | AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
H3C HDM Family-A G3/G5 (إصدارات متأثرة غير محددة)
الوصف
يقوم البرنامج بالتحقق من توقيع RSA لصورة البرنامج الثابت (firmware) باستخدام مفتاح عام مخزن في الملف
/conf/public.pem. يمكن لعميل Redfish مصرح له يمتلك صلاحيات firmware-update الكتابة فوق هذا الملف من خلال إجراء UpdateService.UploadSignKey لأن النظام يتحقق فقط من أن اسم الملف ينتهي بـ .pem. يسمح هذا للمهاجم باستبدال مرساة الثقة بمفتاح مخصص، ومن ثم تثبيت صورة برنامج ثابت خبيثة موقعة بالمفتاح الخاص المطابق. يفتقر النظام إلى جذر ثقة عتادي، مثل Platform Firmware Resilience (PFR)، لاكتشاف استبدال المفتاح.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
Improper Verification of Cryptographic Signature
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Hdm Family-A G5