CVE-2026-33583

WysokieCVSS 8.7

Opublikowano: 13/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Podatność CVE-2026-33583 dotyczy ujawnienia klucza QKEY oraz wewnętrznych kluczy systemowych poprzez nieautoryzowaną i niezaszyfrowaną metodę HTTP GET w platformie Arqit Symmetric Key Agreement. Problem ten dotyczy wersji platformy przed 26.03.

Ocena ryzyka

Ujawnienie kluczy może prowadzić do kompromitacji bezpieczeństwa systemu, umożliwiając atakującym przejęcie kontroli nad procesem rejestracji urządzeń. To stwarza poważne zagrożenie dla poufności i integralności danych.

Rekomendacja

Zaleca się aktualizację platformy Arqit Symmetric Key Agreement do wersji po 26.03, aby usunąć tę podatność. Dodatkowo, należy wdrożyć zabezpieczenia, takie jak szyfrowanie i autoryzacja dla wszystkich metod dostępu.

Inne podatności w Arqit Symmetric Key Agreement Platform

CVE-2026-33584Średnie
W platformie Arqit Symmetric Key Agreement Platform ujawniona usługa zarządzania Keycloak umożliwia nieautoryzowany dostęp do wrażliwych informacji debugowania, takich jak metryki i dane o stanie zdrowia. Problem dotyczy wersji przed 26.03.

Oryginalny opis (angielski, źródło NVD)

Exposure of the QKEY (used as input into the ‘OTA-Quantum’ device registration process) and internal system keys via an unauthenticated and unencrypted HTTP GET method in the Arqit Symmetric Key Agreement Platform. This issue affects Symmetric Key Agreement Platform: before 26.03.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS