CVE-2026-33924

WysokieCVSS 7.2

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.11%

Percentyl 66 - wyżej niż 66% wszystkich znanych CVE

Streszczenie

W funkcji instalacji aktualizacji wykryto dwie podatności na wstrzykiwanie poleceń systemu operacyjnego wynikające z niewystarczającej walidacji zawartości pakietu aktualizacji. Administrator może zdalnie dostarczyć spreparowany pakiet, który po instalacji wykonuje dowolne polecenia z uprawnieniami roota.

Ocena ryzyka

Osoba atakująca z uprawnieniami administracyjnymi może czytać lub modyfikować dane wrażliwe, zmieniać konfigurację urządzenia lub je wyłączyć. Wymaga to jednak ważnych uprawnień administracyjnych.

Rekomendacja

Zainstaluj poprawkę producenta dla funkcji instalacji aktualizacji. Ogranicz dostęp administracyjny do urządzenia i weryfikuj integralność pakietów aktualizacji.

Inne podatności w Update installation functionality

CVE-2026-33923Wysokie
W funkcji instalacji aktualizacji wykryto podatność w weryfikacji podpisu wynikającą z niespójnej walidacji zawartości pakietu aktualizacji. Administrator może zdalnie dostarczyć spreparowany pakiet, który przechodzi weryfikację podpisu, ale uruchamia niepodpisany skrypt z uprawnieniami roota.

Oryginalny opis (angielski, źródło NVD)

Two OS command injection vulnerabilities were discovered in the update installation functionality due to insufficient validation of the update bundle contents. An attacker with administrative privileges can remotely supply a crafted update bundle that, when installed, causes arbitrary commands to be executed with root privileges, allowing the attacker to read or modify sensitive data, change the appliance configuration, or shut down the appliance.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS