CVE-2026-104018
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W powłoce systemowej Wind River VxWorks 7 występuje błąd nieprawidłowego zarządzania uprawnieniami (CWE-269), gdy włączone jest egzekwowanie uprawnień per użytkownik. W pewnych operacjach powłoki polecenie może zostać wykonane bez standardowej weryfikacji uprawnień, co pozwala uwierzytelnionemu użytkownikowi o ograniczonych prawach uruchomić niedozwolone polecenia. Luka dotyczy wszystkich wersji VxWorks 7 przed 26.09 i została naprawiona w wersji 26.09.
Ocena ryzyka
Udana eksploatacja prowadzi do eskalacji uprawnień i zagraża poufności, integralności oraz dostępności urządzenia. W środowiskach z wieloma użytkownikami o różnych rolach może to pozwolić na przejęcie kontroli nad urządzeniem.
Rekomendacja
Zaktualizuj VxWorks 7 do wersji 26.09 lub nowszej. Do czasu aktualizacji ogranicz dostęp do powłoki i przyznawaj uprawnienia tylko zaufanym użytkownikom.
Inne podatności w Wind River VxWorks 7
Zobacz wszystkie- CVE-2026-102006Średnie
W Wind River VxWorks 7 przed wersją 26.09 określone argumenty wywołań systemowych mogą spowodować, że podsystem zarządzania procesami nie zwolni prawidłowo przydzielonej pamięci jądra przed zakończeniem aplikacji wywołującej. Problem został naprawiony w wersji 26.09.
- CVE-2026-102005Średnie
W systemie Wind River VxWorks 7 w wersjach 24.03 do 26.03 występuje wyciek pamięci w określonych, niestandardowych konfiguracjach podczas przetwarzania niektórych procedur serwisowych, co powoduje zatrzymanie działania systemu przed zwolnieniem przydzielonych pul pamięci. Problem został naprawiony w wersji VxWorks 7 26.09.
- CVE-2026-102004Wysokie
W systemie Wind River VxWorks 7 przed wersją 26.09, określone argumenty wywołań systemowych mogą powodować uszkodzenie pamięci w podsystemie zarządzania pamięcią. Problem został naprawiony w wersji 26.09.
- CVE-2026-97686Średnie
W Wind River VxWorks 7 przed wersją 26.09, określone argumenty wywołań systemowych mogą powodować, że podsystem IPNET nie zwolni poprawnie przydzielonej pamięci jądra i deskryptorów plików przed zakończeniem aplikacji. Problem został naprawiony w wersji 26.09.
Oryginalny opis (angielski, źródło NVD)
An improper privilege management vulnerability (CWE-269) exists in the command shell of Wind River VxWorks 7 when configured to enforce per-user command privileges. Under certain shell operations, a command may be evaluated without the privilege check that is normally applied, allowing an authenticated user with limited privileges to execute commands they are not authorized to run. Successful exploitation can result in privilege escalation, with impact to the confidentiality, integrity, and availability of the affected device. The issue affects all versions of VxWorks 7 prior to 26.09. It has been fixed in 26.09.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS