CVE-2026-33923

WysokieCVSS 7.2

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

W funkcji instalacji aktualizacji wykryto podatność w weryfikacji podpisu wynikającą z niespójnej walidacji zawartości pakietu aktualizacji. Administrator może zdalnie dostarczyć spreparowany pakiet, który przechodzi weryfikację podpisu, ale uruchamia niepodpisany skrypt z uprawnieniami roota.

Ocena ryzyka

Osoba atakująca z uprawnieniami administracyjnymi może czytać lub modyfikować dane wrażliwe, zmieniać konfigurację urządzenia lub je wyłączyć. Wymaga to jednak ważnych uprawnień administracyjnych.

Rekomendacja

Zainstaluj poprawkę producenta dla funkcji instalacji aktualizacji. Ogranicz dostęp administracyjny do urządzenia i weryfikuj integralność pakietów aktualizacji.

Inne podatności w Update installation functionality

CVE-2026-33924Wysokie
W funkcji instalacji aktualizacji wykryto dwie podatności na wstrzykiwanie poleceń systemu operacyjnego wynikające z niewystarczającej walidacji zawartości pakietu aktualizacji. Administrator może zdalnie dostarczyć spreparowany pakiet, który po instalacji wykonuje dowolne polecenia z uprawnieniami roota.

Oryginalny opis (angielski, źródło NVD)

A signature verification vulnerability was discovered in the update installation functionality due to inconsistent validation of the update bundle contents. An attacker with administrative privileges can remotely supply a crafted update bundle that passes signature verification but runs an unsigned script when the bundle is installed. The script runs with root privileges, allowing the attacker to read or modify sensitive data, change the appliance configuration, or shut down the appliance.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS