CVE-2025-46733
WysokieStreszczenie
OP-TEE to środowisko zaufane (TEE) zaprojektowane jako towarzyszące dla niezabezpieczonego jądra Linux działającego na rdzeniach Arm Cortex-A. W wersji 4.5.0, atakujący może wywołać panikę w TA korzystającym z API Secure Storage libutee, używając specjalnie przygotowanego binarnego pliku tee-supplicant w przestrzeni użytkownika REE.
Ocena ryzyka
Atakujący z dostępem do przestrzeni użytkownika REE może zastąpić tee-supplicant własnym procesem, co może prowadzić do nieprzewidywalnych zachowań systemu i potencjalnych luk w zabezpieczeniach. To stwarza ryzyko dla integralności i dostępności systemu.
Rekomendacja
Zaleca się aktualizację OP-TEE do najnowszej wersji, aby załatać tę podatność oraz ograniczenie dostępu do przestrzeni użytkownika REE tylko do zaufanych użytkowników.
Powiązane podatności
- CVE-2026-100382Krytyczne
Podatność typu OS Command Injection w rozszerzeniu ExternalData dla MediaWiki wynika z niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego. Problem dotyczy wersji od początku istnienia rozszerzenia do wersji przed 3.7.
- CVE-2026-97064Krytyczne
X-SpringBoot do wersji 6.0 zawiera zakodowany na stałe statyczny kod weryfikacyjny logowania głównego 172839, domyślnie włączony w seedzie bazy danych. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, podając publiczny kod główny do endpointu emailOrMobileLogin ze znanym adresem e-mail lub numerem telefonu.
- CVE-2026-97063Krytyczne
X-SpringBoot do wersji 6.0 zwraca kody weryfikacyjne logowania w odpowiedziach HTTP z nieuwierzytelnionych endpointów GET /sys/mobile/code i GET /sys/email/code, nie wysyłając ich do właścicieli kont. Atakujący może zażądać kodów dla znanych numerów telefonów lub adresów e-mail, odczytać je z odpowiedzi i zalogować się jako ofiary przez POST /sys/emailOrMobileLogin/login, przejmując konta.
- CVE-2026-84458Krytyczne
W Zammad przed wersją 7.1.2, gdy włączone jest ustawienie "Automatic account link on initial logon", system wiąże tożsamość zewnętrznego dostawcy SSO z istniejącym kontem lokalnym na podstawie adresu e-mail raportowanego przez dostawcę, bez weryfikacji, że dostawca potwierdził własność tego adresu. Atakujący kontrolujący dowolną tożsamość u skonfigurowanego dostawcy (domyślnie m.in. dowolny tenant Azure AD przez rejestrację aplikacji Microsoft 365 /common) może ustawić e-mail tożsamości na adres ofiary, uwierzytelnić się i zostać zalogowanym jako ofiara, omijając jej lokalne hasło. Problem dotyczy wszystkich istniejących kont, w tym agentów i administratorów.
- CVE-2026-48482Krytyczne
W GLPI od wersji 11.0.0 do 11.0.8 administrator formularzy może użyć importu formularza ze spreparowanym identyfikatorem ilustracji lub sceny, który wychodzi poza zamierzony katalog zasobów niestandardowych. Zaimportowany plik może zostać zapisany w wykonywalnej lokalizacji serwera, umożliwiając zdalne wywołanie złośliwego skryptu.
- CVE-2026-92161Krytyczne
Przed wersjami 1.7.4 i 2.0.0-beta.4, dostawca OAuth Discord w FriendsOfFlarum nie weryfikuje pola 'verified' dla adresu e-mail przed przekazaniem go do rdzenia Flarum jako zaufanego. Umożliwia to nieuwierzytelnionemu atakującemu, znającemu adres e-mail ofiary, skonfigurowanie konta Discord z niezweryfikowanym adresem i zalogowanie się jako ofiara bez hasła.
- CVE-2026-62262Krytyczne
W Piwigo do wersji 17.0.0beta1 włącznie, gdy ocenianie jest włączone, nieuwierzytelniony gość może wywołać pwg.images.filteredSearch.create z spreparowaną wartością ratings[] i otworzyć zwrócony URL wyszukiwania. Wartość nie jest walidowana i jest używana jako górna granica w zapytaniu SQL, co pozwala na ekstrakcję informacji z bazy danych lub opóźnienia czasowe.
- CVE-2026-42322Krytyczne
W Piwigo przed wersją 16.4.0, admin/themes_standard_pages.php waliduje zawartość przesyłanego logo tylko po typie MIME, ale używa kontrolowanego przez atakującego rozszerzenia w nazwie pliku. Uwierzytelniony administrator może przesłać plik z rozszerzeniem wykonywalnym przez serwer, co prowadzi do wykonania kodu po umieszczeniu w katalogu logo.
- CVE-2026-39353Krytyczne
W InvoicePlane przed wersją 1.7.2-rc-1, lista dozwolonych szablonów jest budowana na podstawie katalogu PHP, który może być zapisywany przez administratora. Złośliwy plik PHP umieszczony w tym katalogu jest automatycznie zaufany i może być wybrany jako publiczny szablon, a następnie wykonany podczas renderowania publicznej faktury.
- CVE-2026-93647Krytyczne
Nieuwierzytelniony nadawca kalendarza może umieścić aktywny znacznik w adresie From w wiadomości COUNTER. Wybranie wiadomości w Zimbra Classic wyzwala przechowywany XSS, umożliwiając atakującemu dostęp do danych skrzynki i działanie jako ofiara.
Oryginalny opis (angielski, źródło NVD)
OP-TEE is a Trusted Execution Environment (TEE) designed as companion to a non-secure Linux kernel running on Arm; Cortex-A cores using the TrustZone technology. In version 4.5.0, using a specially crafted tee-supplicant binary running in REE userspace, an attacker can trigger a panic in a TA that uses the libutee Secure Storage API. Many functions in libutee, specifically those which make up the Secure Storage API, will panic if a system call returns an unexpected return code. This behavior is mandated by the TEE Internal Core API specification. However, in OP-TEE’s implementation, return codes of secure storage operations are passed through unsanitized from the REE tee-supplicant, through the Linux kernel tee-driver, through the OP-TEE kernel, back to libutee. Thus, an attacker with access to REE userspace, and the ability to stop tee-supplicant and replace it with their own process (generally trivial for a root user, and depending on the way permissions are set up, potentially avail
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS