CVE-2026-109399
WysokieCVSS 8.1Streszczenie
SWUpdate do wersji 2026.05.1 zawiera podatność na nieprawidłową walidację certyfikatów w pliku crypto/swupdate_cms_verify_openssl.c, która ufa niezaufanym certyfikatom X.509 osadzonym w CMS SignedData do budowania łańcucha zaufania. Atakujący posiadający klucz podpisujący od pośredniego certyfikatu w tym samym łańcuchu głównym może osadzić ten certyfikat w podpisie, aby zainstalować złośliwe aktualizacje.
Ocena ryzyka
Ryzyko polega na możliwości zainstalowania przez atakującego nieautoryzowanych, złośliwych aktualizacji oprogramowania, co może prowadzić do przejęcia kontroli nad systemem lub urządzeniem.
Rekomendacja
Zaleca się aktualizację SWUpdate do najnowszej wersji, która zawiera poprawkę, oraz wdrożenie ścisłej walidacji certyfikatów w procesie aktualizacji.
Inne podatności w SWUpdate
Zobacz wszystkie- CVE-2025-41259Wysokie
SWUpdate przed wersją 2026.05 jest dotknięty warunkami wyścigu typu time-of-check time-of-use (TOCTOU), które umożliwiają lokalnym nieuprzywilejowanym atakującym eskalację uprawnień do roota lub instalację niezaufanych treści przy użyciu podpisanej aktualizacji.
- CVE-2026-28525Średnie
SWUpdate zawiera podatność na niedomiar liczby całkowitej w parserze przesyłania wieloczęściowego w pliku mongoose_multipart.c, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi poprzez wysłanie spreparowanego żądania HTTP POST do /upload z nieprawidłowym ogranicznikiem wieloczęściowym i kontrolowanym taktowaniem strumienia TCP. Atakujący mogą wywołać niedomiar liczby całkowitej w funkcji mg_http_multipart_continue_wait_for_chunk(), gdy długość bufora mieści się w określonym zakresie, powodując odczyt sterty poza przydzielonym buforem odbiorczym do lokalnego gniazda IPC.
Oryginalny opis (angielski, źródło NVD)
SWUpdate through 2026.05.1 contains an improper certificate validation vulnerability in crypto/swupdate_cms_verify_openssl.c that trusts untrusted X.509 certificates embedded in CMS SignedData for chain building. Attackers holding a signing key from a sibling intermediate under the same root can embed that intermediate in the signature to install malicious updates.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS