Tod Beardsley

A specially crafted malformed search query could return results from outside a user's organization. Log analysis of runZero's hosted environment found only testing of the issue and no adversary traffic. This issue was fixed in version 5.1.261013.1.

O daemon de ponte de terminal `wsserver`, com privilégios de root, permite que um cliente conectado execute comandos arbitrários no dispositivo como root. Isso ocorre porque o daemon constrói um comando de shell usando campos de WebSocket fornecidos pelo cliente e o passa para as funções `system()` e `popen()` sem a devida citação, escape ou validação de conjunto de caracteres. Além disso, o caminho de sessão de chave pública do daemon não realiza a verificação de sessão do dispositivo.

O processo de gerenciamento de dispositivos no openUBMC processa incorretamente as respostas PLDM-over-MCTP e NCSI-over-MCTP de dispositivos no barramento. Três analisadores de resposta nas bibliotecas de transporte compartilhadas subtraem um tamanho fixo de cabeçalho ou campo reservado de um comprimento de resposta fornecido pelo dispositivo sem realizar uma verificação de limite inferior. Se a resposta for subdimensionada, a diferença de comprimento não sinalizada envolve para um valor muito grande, fazendo com que o analisador leia a memória muito além do buffer de resposta. Este problema afeta a classe de controle PLDM base e o driver NCSI da Huawei, tornando-o acessível por qualquer endpoint PLDM ou NIC Huawei no barramento de gerenciamento interno.

O software atribui um conjunto completo de privilégios a pseudo-identidades usadas por chamadores SNMP. Isso permite que um usuário autenticado com baixos privilégios execute operações de backend mapeadas com autoridade administrativa. O problema ocorre em `route mapper/account.lua` na função `get user privilege()`, que retorna um conjunto completo de nove privilégios para o grupo `special users`, incluindo o pseudo-usuário `SNMPv1 v2c`.

O software verifica a assinatura RSA de uma imagem de firmware usando uma chave pública armazenada no arquivo `/conf/public.pem`. Um cliente Redfish autenticado com privilégios de `firmware-update` pode sobrescrever este arquivo através da ação `UpdateService.UploadSignKey`, pois o sistema valida apenas que o nome do arquivo termina em `.pem`. Isso permite que um invasor substitua a âncora de confiança por uma chave personalizada e, posteriormente, instale uma imagem de firmware maliciosa assinada com a chave privada correspondente. O sistema carece de uma raiz de confiança de hardware, como o Platform Firmware Resilience (PFR), para detectar a substituição da chave.

O openUBMC é fornecido com uma chave USM SNMPv3 padrão que utiliza um único valor tanto para autenticação quanto para privacidade. Como essas chaves são constantes na compilação de código aberto e não são exclusivas por unidade, um invasor pode recuperá-las para autenticar solicitações SNMPv3 e descriptografar o tráfego. O problema envolve as variáveis `AuthenticationKey` e `EncryptionKey` definidas nos arquivos `manifest/build/customization/default password.lua` e `account/manufacture/default password.lua`. Essas chaves não são rotacionadas durante a redefinição de senha do Administrador, persistindo após o provisionamento da conta. Como o acesso SNMP é mapeado para privilégios totais de administração do dispositivo, isso pode permitir reinicializações do sistema e atualizações de firmware não autorizadas.

Uma falha de lógica na implementação IPMI do OpenBMC permite que o contexto de autorização de uma sessão ativa seja substituído por uma conta alvo. Isso ocorre enquanto as chaves de integridade e criptografia originais permanecem ativas, permitindo a escalada de privilégios sem a necessidade de reautenticação. Esta implementação é utilizada por diversos fornecedores downstream, incluindo NVIDIA e H3C.

Uma falha de lógica na implementação do IPMI permite que um cliente não autenticado force o manipulador de RAKP Message 1 a retornar antes que os padrões do construtor do objeto de autenticação sejam sobrescritos. Consequentemente, o serviço IPMI aceita uma RAKP Message 3 onde o HMAC é calculado usando um `bmcRandomNum` previsível e uma `userKey` constante de 20 bytes inicializada como '0penBmc'. Este problema afeta o OpenBMC e fornecedores downstream que utilizam o phosphor-net-ipmid como sua pilha IPMI, incluindo NVIDIA e H3C.

Ocorre uma exposição de cluster não inicializado quando a função `f lseek()` estende arquivos além do fim do arquivo (EOF) sem preencher com zeros os clusters recém-alocados. Este problema é um Uso de Recurso Não Inicializado, onde o sistema falha em limpar a memória ou o armazenamento antes do uso, potencialmente expondo dados sensíveis armazenados anteriormente nesses clusters.

Um subfluxo de inteiro (integer underflow) ocorre durante operações intercaladas de leitura e gravação em sistemas de arquivos fragmentados. Este problema é causado por um wrap de subtração sem sinal nas funções `f read()` e `f write()` ao avaliar a condição `fp->sect - sect < cc`, o que leva ao salto de cache sujo (stale dirty-cache skip).

Ocorre um estouro de inteiro na função `mount volume()` durante o processamento FAT32 quando a operação `fasize *= fs->n fats` sofre wrap. Isso permite que um invasor controle os metadados de tamanho de arquivo, resultando em comprimentos de leitura inseguros para chamadores subsequentes. Este problema pode ser explorado por meio de imagens FAT manipuladas em pendrives USB ou cartões SD para alcançar a execução de código arbitrário em dispositivos embarcados, incluindo aqueles que utilizam ESP-IDF, STM32Cube, Zephyr e ArduPilot. Além disso, a entrega remota é possível através de pipelines de OTA ou atualização. A exploração no mundo real foi demonstrada em um dispositivo de câmera.

Um estouro de buffer baseado em pilha ocorre na função `f getlabel()`. Este problema surge porque o comprimento do rótulo exFAT `XDIR NumLabel` é confiado sem a aplicação dos limites máximos definidos pela especificação.

Existe um problema ao utilizar a varredura GPT com `FF LBA64 = 1`, onde uma contagem de loop ilimitada é derivada do campo de cabeçalho GPT `GPTH PtNum`. Isso pode levar a varreduras extremamente longas ou efetivamente infinitas durante o processo de montagem, resultando em um loop com condição de saída inalcançável.

Existe um problema no tratamento de nomes de arquivos longos quando o LFN (Long File Name) está habilitado. A variável `fno.fname` pode atingir até 255 caracteres, e muitos chamadores copiam esses dados para buffers fixos curtos sem realizar verificações de limite, resultando em um estouro de buffer. Um estouro de buffer ocorre quando um programa grava mais dados em um bloco de memória do que o alocado para suportar.

Um problema de divisão por zero existe na lógica de sincronização exFAT. Isso ocorre durante operações de gravação ou sincronização quando metadados manipulados fazem com que o cálculo `n fatent - 2` resulte em zero. A divisão por zero é uma condição em que um programa tenta dividir um número por zero, o que normalmente leva a uma falha do sistema ou do aplicativo.

A validação insuficiente do token de desafio ACME em relação à RFC 8555 durante o processamento de arquivos de desafio permite que um token maliciosamente criado influencie o uso de caminhos ou nomes de arquivos locais. Um invasor capaz de fornecer respostas de desafio ACME—como por meio de um endpoint de CA comprometido ou adulterando o caminho da resposta—pode alcançar efeitos de gravação de arquivo não autorizada e travessia de caminho (path traversal). Isso geralmente ocorre com privilégios elevados e pode levar à injeção remota de comandos. Este é um caso de Controle Externo de Nome ou Caminho de Arquivo, onde uma entrada externa determina o caminho usado pela aplicação.

O serviço Aqara Board no endpoint "op-test.aqara.com" aceita payloads de comando MQTT arbitrários e os encaminha para o broker HiveMQ da plataforma sem autenticação. Esta ausência de autenticação para uma função crítica permite a injeção de comandos MQTT não autenticados. Quando combinado com outras falhas, isso pode levar ao controle remoto total dos dispositivos afetados.

O Aqara IAM/SSO Gateway no endpoint 'gw-builder.aqara.com' utiliza uma credencial de cliente OAuth hardcoded. Esta falha pode ser combinada com outros problemas para permitir a tomada de controle remoto total e não autenticada de dispositivos afetados.

O gateway IAM/SSO em 'gw-builder.aqara.com' expõe um oráculo AES não autenticado, permitindo round-trips AES bidirecionais contra a chave de assinatura da plataforma. Isso ocorre devido à ausência de autenticação para uma função crítica e ao uso de um algoritmo criptográfico quebrado ou arriscado.

🚨 CVE-2026-50082 The Aqara Cloud Developer Portal (developer.aqara.com) issued a developer token to any email address supplied by the attacker. This is an instance of "CWE-306: Missing Authentication for Critical Function" with an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N (6.5 Medium). When combined with CVE-2026-50083, CVE-2026-50084, and CVE-2026-50085, any otherwise-unauthenticated attacker could execute a full takeover of affected devices. 🎖@cveNotify