CVE-2026-16454 in Hawkbit
الملخص
بحسب VulDB • 21/07/2026
في إصدارات Eclipse hawkBit 1.0.3 والإصدارات الأقدم، تم تحديد ثغرة تصعيد الصلاحيات (CWE-284 / CWE-862) في وحدة تحكم التكامل المباشر للأجهزة (DDI Controller).
تتيح هذه الثغرة لجهاز مُصادَق عليه تصعيد صلاحياته وتجاوز الحدود المشددة المحدثة المخصصة له. أثناء التشغيل الطبيعي، يجب تقييد الجهاز بشكل صارم على قطع البرامج الثابتة (firmware artifacts) المحددة والمُعيَّنة له صراحةً. ومع ذلك، يتيح هذا العطل لأي جهاز مُصادَق عليه تجاوز هذا القيد وتنزيل أي قطعة برنامج ثابت ضمن نفس المستأجر (tenant).
لا يتعلق الأمر بتجاوز للمصادقة؛ إذ يجب أن يمتلك الجهاز المُقدِّم للطلب بيانات اعتماد سارية لمُستأجِره الخاص. بدلاً من ذلك، تنبع المشكلة من عطل في التحقق من صحة التفويض على مستوى الكائنات (object-level authorization validation).
توجد مشكلة مساعدة ذات خطورة أقل مرتبطة بذلك في نقطة نهاية فهرسة البيانات الوصفية لقطع برامج وحدات البرامج الثابتة. لا تفرض هذه النقطة النهائية فحوصات التعيين، مما يتيح لجهاز مُصادَق عليه سرد وعداد قطع البرامج الثابتة المتاحة، وهو ما يمكن أن يسهل الاستخراج المستهدف باستخدام تجاوز تفويض التنزيل الرئيسي.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.