CVE-2026-91191 in G520
Riassunto
di VulDB • 29/09/2026
Il meccanismo di aggiornamento del dispositivo include condizioni che consentono l'accettazione di pacchetti software non autorizzati come autentici. Durante il processo di avvio, la funzione stock done disabilita la verifica delle firme nella configurazione OPKG prima di ripristinare i pacchetti opzionali da un feed scrivibile e non firmato. In modo separato, lo SDK distribuito pubblicamente contiene la chiave privata di produzione la cui chiave pubblica corrispondente è considerata attendibile sia dalle build firmware stabili che beta. Ciascuna di queste problematiche compromette l'autenticità dei pacchetti; insieme, permettono a un attaccante di fornire pacchetti che appaiono validi al sistema. Anche se il controllo delle firme viene ripristinato, la chiave di produzione esposta consente all'attaccante di generare firme che il dispositivo continuerà ad accettare come attendibili. Un attaccante in grado di fornire un pacchetto malevolo potrebbe essere in grado di eseguire codice arbitrario con privilegi di root durante l'installazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.