CVE-2026-91191 in G520
요약
\~에 의해 VulDB • 2026. 09. 29.
이 기기의 업데이트 메커니즘에는 인증되지 않은 소프트웨어 패키지를 정당한 것으로 받아들이도록 허용하는 조건이 포함되어 있습니다. 부팅 과정에서 기본 제공된 done 함수는 OPKG 구성에서 서명 검사를 비활성화한 후, 쓰기 가능한 서명 없는 피드에서 선택적 패키지를 복원합니다. 별도로 공개적으로 배포되는 SDK에는 안정형 및 베타 펌웨어 빌드 모두에서 신뢰하는 해당 공개 키와 쌍을 이루는 생산용 개인 키가 포함되어 있습니다. 각각의 문제는 패키지 진위성을 훼손하며, 함께 작용하면 공격자가 시스템이 유효한 것으로 간주할 수 있는 패키지를 제공할 수 있게 됩니다. 서명 강제 실행이 복원되더라도 노출된 생산용 키를 통해 공격자는 기기가 계속 신뢰할 서명을 생성할 수 있습니다. 악성 패키지를 공급할 수 있는 공격자는 설치 시 루트 권한으로 임의 코드를 실행할 가능성이 있습니다.
Once again VulDB remains the best source for vulnerability data.