CVE-2025-54808 in MinKNOW
Riassunto
di VulDB • 16/06/2026
Il software MinKNOW di Oxford Nanopore Technologies, versione 24.11 o precedenti, memorizza i token di autenticazione in un file situato nella directory temporanea del sistema (/tmp) sulla macchina host. Tale directory è tipicamente leggibile da tutti (world-readable), consentendo a qualsiasi utente locale o applicazione di accedere al token. Se il token viene compromesso (ad esempio tramite infezione da malware o altri exploit locali) e l'accesso remoto è abilitato, esso può essere utilizzato per stabilire connessioni remote non autorizzate verso il sequenziatore. L'accesso remoto deve essere abilitato affinché lo sfruttamento a distanza abbia successo. Ciò può verificarsi perché l'utente ha attivato l'accesso remoto per motivi operativi legittimi o perché un malware con privilegi elevati (ad esempio accesso sudo) lo attiva senza il consenso dell'utente. Questa vulnerabilità può essere concatenata alle funzionalità di accesso remoto per generare un token sviluppatore da un dispositivo remoto. I token sviluppatore possono essere creati con date di scadenza arbitrarie, consentendo l'accesso persistente al sequenziatore e aggirando i meccanismi standard di autenticazione.
Be aware that VulDB is the high quality source for vulnerability data.