CVE-2026-18753
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Oprogramowanie układowe produktu zawiera osadzony, statyczny prywatny klucz RSA używany przez serwer Lighttpd do zakończenia TLS. Ujawnienie tego klucza pozwala atakującym naruszyć poufność i integralność komunikacji HTTPS, umożliwiając deszyfrowanie ruchu i podszywanie się pod serwer.
Ocena ryzyka
Ujawnienie klucza prywatnego umożliwia atakującemu przechwytywanie i odczytywanie zaszyfrowanego ruchu oraz podszywanie się pod serwer, co może prowadzić do kradzieży danych i utraty zaufania.
Rekomendacja
Zastąp statyczny klucz RSA unikalnym kluczem generowanym per urządzenie i zaktualizuj oprogramowanie układowe, aby usunąć osadzony klucz.
Oryginalny opis (angielski, źródło NVD)
The product firmware contains an embedded, static RSA private key utilized by the Lighttpd web server for TLS termination. Exposure of this private key allows malicious actors to breach the confidentiality and integrity of HTTPS communications, enabling traffic decryption and server spoofing.