PT-2026-111595 · H3C · Hdm Family-A G5
CVSS v3.1
3.1
Baixa
| Vetor | AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
H3C HDM Family-A G3/G5 (versões afetadas não especificadas)
Descrição
O software verifica a assinatura RSA de uma imagem de firmware usando uma chave pública armazenada no arquivo
/conf/public.pem. Um cliente Redfish autenticado com privilégios de firmware-update pode sobrescrever este arquivo através da ação UpdateService.UploadSignKey, pois o sistema valida apenas que o nome do arquivo termina em .pem. Isso permite que um invasor substitua a âncora de confiança por uma chave personalizada e, posteriormente, instale uma imagem de firmware maliciosa assinada com a chave privada correspondente. O sistema carece de uma raiz de confiança de hardware, como o Platform Firmware Resilience (PFR), para detectar a substituição da chave.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Hdm Family-A G5