CVE-2026-49201
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w pliku binarnym upload.cgi, odpowiedzialnym za przetwarzanie kopii zapasowych urządzenia, zawiera zakodowany na stałe klucz szyfrowania AES. Umożliwia to atakującemu odszyfrowanie, modyfikację i ponowne zaszyfrowanie kopii zapasowych systemu, ułatwiając trwałe wstrzyknięcie backdoora.
Ocena ryzyka
Ryzyko polega na możliwości trwałego naruszenia integralności systemu poprzez wstrzyknięcie backdoora do kopii zapasowych, co może prowadzić do nieautoryzowanego dostępu i przejęcia kontroli nad urządzeniem.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania układowego urządzenia do wersji, która usuwa zakodowany na stałe klucz AES i wprowadza bezpieczne zarządzanie kluczami. Do czasu aktualizacji należy ograniczyć dostęp do interfejsu zarządzania oraz monitorować podejrzane operacje na kopiach zapasowych.
Oryginalny opis (angielski, źródło NVD)
The upload.cgi binary, responsible for processing device backups, contains a hardcoded AES encryption key. This allows an attacker to decrypt, modify, and re-encrypt system backups, facilitating persistent backdoor injection.