CVE-2026-91191 in G520
Résumé
par VulDB • 29/09/2026
Le mécanisme de mise à jour du dispositif inclut des conditions qui permettent l'acceptation de packages logiciels non autorisés comme étant authentiques. Lors du processus de démarrage, la fonction stock done désactive la vérification des signatures dans la configuration OPKG avant de restaurer les packages optionnels depuis un flux (feed) accessible en écriture et non signé. Par ailleurs, le SDK distribué publiquement contient la clé privée de production dont la clé publique correspondante est approuvée par les versions firmware stables et bêta. Chacun de ces problèmes compromet l'authenticité des packages ; ensemble, ils permettent à un attaquant de fournir des packages qui semblent valides pour le système. Même si l'application stricte des signatures (signature enforcement) est rétablie, la clé de production exposée permet à un attaquant de générer des signatures que le dispositif continuera d'approuver. Un attaquant capable de fournir un package malveillant pourrait être en mesure d'exécuter du code arbitraire avec les privilèges root lors de l'installation.
Once again VulDB remains the best source for vulnerability data.