CVE-2026-82017

WysokieCVSS 7.6

Opublikowano: 28/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Podatność w IGEL OS 12 przed 12.7.6 i IGEL OS 11 przed 11.11.150. Atakujący z fizycznym dostępem może wstrzyknąć parametry programu ładującego Linuksa, zapisując do niezaszyfrowanego i niepodpisanego obszaru konfiguracji, co pozwala na wykonanie złośliwych parametrów jądra z uprawnieniami środowiska rozruchowego bez naruszenia pomiarów TPM.

Ocena ryzyka

Ryzyko przejęcia kontroli nad systemem przez atakującego z fizycznym dostępem, z pominięciem zabezpieczeń TPM.

Rekomendacja

Zaktualizuj IGEL OS do wersji 12.7.6 lub 11.11.150. Ogranicz fizyczny dostęp do urządzeń.

Inne podatności w IGEL OS

CVE-2026-82018Średnie
IGEL OS 12 przed 12.9.0, 12.8.3 LTS oraz IGEL OS 11 przed 11.11.150 zawierają podatność obejścia bezpiecznego rozruchu w etapie GRUB, umożliwiającą fizycznie obecnym atakującym uzyskanie nieautoryzowanego dostępu root przez umieszczenie niepodpisanego pustego pliku o nazwie igel.conf na partycji. Atakujący wykorzystują zawodne zachowanie weryfikacji podpisów GRUB, aby dostać się do interaktywnego wiersza GRUB, a następnie uruchomić jądro urządzenia z dodatkowymi argumentami, uzyskując powłokę root z odblokowanym dyskiem, pozostawiając wartości PCR TPM niezmienione.

Oryginalny opis (angielski, źródło NVD)

IGEL OS 12 before 12.7.6 and IGEL OS 11 before 11.11.150 contain a boot registry parameter injection vulnerability that allows attackers with physical access to execute arbitrary Linux loader parameters by writing to an unencrypted and unsigned configuration area read by the signed bootloader. Attackers can inject malicious kernel command line parameters that execute with boot environment privileges without triggering TPM PCR measurement failures, as the attack does not modify the measured boot code.