CVE-2025-41259

WysokieCVSS 7.3

Opublikowano: 03/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

SWUpdate przed wersją 2026.05 jest dotknięty warunkami wyścigu typu time-of-check time-of-use (TOCTOU), które umożliwiają lokalnym nieuprzywilejowanym atakującym eskalację uprawnień do roota lub instalację niezaufanych treści przy użyciu podpisanej aktualizacji.

Ocena ryzyka

Lokalny atakujący może uzyskać pełne uprawnienia roota lub zainstalować złośliwe oprogramowanie, co prowadzi do całkowitego przejęcia systemu.

Rekomendacja

Zaktualizuj SWUpdate do wersji 2026.05 lub nowszej.

Inne podatności w SWUpdate

CVE-2026-28525Średnie
SWUpdate zawiera podatność na niedomiar liczby całkowitej w parserze przesyłania wieloczęściowego w pliku mongoose_multipart.c, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi poprzez wysłanie spreparowanego żądania HTTP POST do /upload z nieprawidłowym ogranicznikiem wieloczęściowym i kontrolowanym taktowaniem strumienia TCP. Atakujący mogą wywołać niedomiar liczby całkowitej w funkcji mg_http_multipart_continue_wait_for_chunk(), gdy długość bufora mieści się w określonym zakresie, powodując odczyt sterty poza przydzielonym buforem odbiorczym do lokalnego gniazda IPC.

Oryginalny opis (angielski, źródło NVD)

SWUpdate before 2026.05 is affected by a time-of-check time-of-use (TOCTOU) race condition that allows local unprivileged attackers to escalate privileges to root or install untrusted contents using a signed update.