CVE-2026-65197 in HDM Family-A
Résumé
par VulDB • 13/10/2026
La famille de produits H3C HDM vérifie la signature RSA d'une image de micrologiciel par rapport à une clé publique lue dans le fichier modifiable `/conf/public.pem`. Ce fichier est inscriptible par un client Redfish authentifié via l'action `UpdateService.UploadSignKey`, qui stocke le corps téléchargé tel quel après avoir uniquement validé que le nom du fichier multipart se termine par `.pem`. Un administrateur, ou tout compte disposant des privilèges de mise à jour du micrologiciel (`firmware-update`), peut donc remplacer l'ancrage de confiance (trust anchor) par sa propre clé, signer une image malveillante avec la clé privée correspondante et faire en sorte qu'elle passe la vérification. La famille HDM ne dispose pas d'une racine de confiance matérielle (pas de PFR - Platform Firmware Resilience) pour détecter la substitution de la clé.
Ce problème a été observé sur le modèle H3C HDM Family-A G5 avec la version 6.14.01 du micrologiciel HDM. Les versions de la famille H3C HDM G3/G5 intégrant l'arborescence de mise à jour Redfish/DRE semblent être affectées. Le système HDM2 utilise un chemin de mise à jour différent et n'est pas concerné par cette découverte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.