PT-2026-111595
CVE-2026-65197
·
Publicado
2026-10-13
·
Atualizado
2026-10-13
Descrição por
CVSS 3.1
3.1
BaixaMétricasAV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas
H3C HDM Family-A G3/G5 (versões afetadas não especificadas)
Descrição
O software verifica a assinatura RSA de uma imagem de firmware usando uma chave pública armazenada no arquivo
/conf/public.pem. Um cliente Redfish autenticado com privilégios de firmware-update pode sobrescrever este arquivo através da ação UpdateService.UploadSignKey, pois o sistema valida apenas que o nome do arquivo termina em .pem. Isso permite que um invasor substitua a âncora de confiança por uma chave personalizada e, posteriormente, instale uma imagem de firmware maliciosa assinada com a chave privada correspondente. O sistema carece de uma raiz de confiança de hardware, como o Platform Firmware Resilience (PFR), para detectar a substituição da chave.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾