PT-2020-12315
CVE-2020-10759
·
Publicado
2020-06-05
·
Atualizado
2024-06-15
Descrição por
CVSS 3.1
6.0
MédiaMétricasAV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas
fwupd (todas as versões)
Descrição
Foi encontrada uma falha de contorno de assinatura PGP, que poderia levar à instalação de firmware não assinado. A maior ameaça dessa vulnerabilidade é à confidencialidade e à integridade. É teoricamente possível, mas não prático, pois o Linux Vendor Firmware Service (LVFS) não está implementado ou habilitado nas versões do fwupd fornecidas com o Red Hat Enterprise Linux 7 e 8. Aproximadamente 500.000 endereços IP únicos estão afetados.
Recomendações
Como solução temporária, considere desativar o processo de verificação de assinatura até que um patch esteja disponível.
Restrinja o acesso ao LVFS para minimizar o risco de exploração.
Evite usar o fwupd até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾