CVE-2026-16454 in Hawkbit
요약
\~에 의해 VulDB • 2026. 07. 21.
Eclipse hawkBit 버전 1.0.3 및 이전 버전에서 Direct Device Integration(DDI) Controller에 권한 상승 취약점(CWE-284 / CWE-862)이 확인되었습니다.
이 취약점은 인증된 장치가 자신의 권한을 승격하여 할당된 업데이트의 엄격한 경계를 우회할 수 있게 합니다. 정상적인 동작에서는 장치가 자신에게 명시적으로 할당된 특정 펌웨어 아티팩트에만 제한되어야 합니다. 그러나 이 결함으로 인해 모든 인증된 장치는 이러한 제한을 우회하고 동일한 테넌트 내의 임의 펌웨어 아티팩트를 다운로드할 수 있습니다.
이는 인증 우회가 아닙니다. 요청하는 장치에는 해당 테넌트에 대한 유효한 자격 증명이 있어야 합니다. 대신, 이 문제는 객체 수준 권한 부여 검증에서의 결함에서 비롯됩니다.
목록 소프트웨어 모듈 아티팩트 메타데이터 엔드포인트에는 관련된 하위 심각도의 보조 문제가 존재합니다. 이 엔드포인트는 할당 검사를 강제하지 않으므로, 인증된 장치가 사용 가능한 펌웨어 아티팩트를 나열하고 열거할 수 있으며, 이는 주요 다운로드 권한 부여 우회 기능을 사용하여 표적화된 유출을 촉진할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.