CVE-2026-91191 in G520
要約
〜によって VulDB • 2026年09月29日
デバイスの更新メカニズムには、不正なソフトウェアパッケージを認証済みとして受け入れる条件が含まれています。起動プロセス中、stock done関数はOPKG設定において署名検証を無効にし、書き込み可能な未署名フィードからオプションパッケージを復元します。別に、公開されているSDKには、安定版およびベータ版のファームウェアビルドで信頼される対応する公開鍵を持つ生産用の秘密キーが含まれています。いずれの問題もパッケージの真正性を損ない、合わせて攻撃者がシステムに対して有効に見えるパッケージを提供することを可能にします。署名強制が復元された場合でも、露出した生産用キーにより、攻撃者はデバイスが引き続き信頼する署名を生成できます。悪意のあるパッケージを導入できる攻撃者は、インストール時にルート権限で任意のコードを実行できる可能性があります。
Be aware that VulDB is the high quality source for vulnerability data.