CVE-2026-91881

KrytyczneCVSS 9.0

Opublikowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Streszczenie

Dell Terraform Provider for Redfish przed wersją 1.6.2 zawiera podatność nieprawidłowej walidacji certyfikatów w komponencie transportu HTTP. Niezautoryzowany atakujący ze zdalnym dostępem może wykorzystać tę podatność do przechwycenia całego ruchu Redfish BMC, w tym poświadczeń, poprzez atak man-in-the-middle, ponieważ weryfikacja certyfikatów TLS jest bezwarunkowo wyłączona.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do danych i systemów zarządzanych przez Redfish, co prowadzi do poważnego naruszenia bezpieczeństwa.

Rekomendacja

Zaktualizuj Dell Terraform Provider for Redfish do wersji 1.6.2 lub nowszej i upewnij się, że weryfikacja certyfikatów TLS jest włączona.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Dell Terraform Provider for Redfish, versions prior to 1.6.2, contains an Improper Certificate Validation vulnerability in the HTTP transport component. An unauthenticated attacker with remote access could potentially exploit this vulnerability, leading to information exposure and unauthorized access. This is a Critical severity vulnerability as it allows an unauthenticated attacker to intercept all Redfish BMC traffic including credentials by performing a man-in-the-middle attack, since TLS certificate verification is unconditionally disabled in the base HTTP transport. Dell recommends customers to upgrade at the earliest opportunity.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS