CVE-2025-10937
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Oprogramowanie MinKNOW firmy Oxford Nanopore Technologies w wersji 24.11 lub starszej tworzy plik tymczasowy do przechowywania lokalnego tokenu uwierzytelniającego podczas uruchamiania, przed skopiowaniem go do docelowej lokalizacji. Plik tymczasowy jest tworzony w katalogu dostępnym dla wszystkich użytkowników systemu. Nieautoryzowany lokalny użytkownik lub proces może wykorzystać to zachowanie, zakładając blokadę pliku na tymczasowym pliku tokenu za pomocą wywołania systemowego flock. Uniemożliwia to zakończenie procesu generowania tokenu. W rezultacie nie jest tworzony prawidłowy token lokalny, a oprogramowanie nie może wykonywać poleceń na sekwenatorze. Prowadzi to do odmowy usługi (DoS), blokując operacje sekwencjonowania.
Ocena ryzyka
Może prowadzić do zablokowania operacji sekwencjonowania i przerwania pracy urządzenia.
Rekomendacja
Zaktualizuj MinKNOW do wersji nowszej niż 24.11, aby naprawić problem z tymczasowym plikiem tokenu.
Inne podatności w MinKNOW
Zobacz wszystkie- CVE-2024-35585Wysokie
Oxford Nanopore MinKNOW przed wersją 24.06 polega na adresie IP klienta do uwierzytelniania.
- CVE-2025-54808Wysokie
Oprogramowanie MinKNOW firmy Oxford Nanopore Technologies w wersji 24.11 i wcześniejszych przechowuje tokeny uwierzytelniające w pliku w katalogu tymczasowym systemu (/tmp) na maszynie hosta. Katalog ten jest zazwyczaj czytelny dla wszystkich, co pozwala dowolnemu lokalnemu użytkownikowi lub aplikacji na dostęp do tokenu. Jeśli token wycieknie (np. przez malware lub inny lokalny exploit), a zdalny dostęp jest włączony, może zostać użyty do nawiązania nieautoryzowanych połączeń zdalnych z sekwenatorem. Podatność może być łańcuchowo wykorzystana z funkcjami zdalnego dostępu do wygenerowania tokenu deweloperskiego z zdalnego urządzenia. Tokeny deweloperskie mogą być tworzone z dowolnymi datami wygaśnięcia, co umożliwia trwały dostęp do sekwenatora i obejście standardowych mechanizmów uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
Oxford Nanopore Technologies' MinKNOW software at or prior to version 24.11 creates a temporary file to store the local authentication token during startup, before copying it to its final location. This temporary file is created in a directory accessible to all users on the system. An unauthorized local user or process can exploit this behavior by placing a file lock on the temporary token file using the flock system call. This prevents MinKNOW from completing the token generation process. As a result, no valid local token is created, and the software is unable to execute commands on the sequencer. This leads to a denial-of-service (DoS) condition, blocking sequencing operations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS