CVE-2026-91191 in G520
Sumário
de VulDB • 29/09/2026
O mecanismo de atualização do dispositivo inclui condições que permitem que pacotes de software não autorizados sejam aceitos como autênticos. Durante o processo de inicialização, a função padrão "done" desativa a verificação de assinatura na configuração OPKG antes de restaurar os pacotes opcionais provenientes de um feed gravável e sem assinatura. Separadamente, o SDK distribuído publicamente contém a chave privada de produção cuja chave pública correspondente é confiada tanto pelas versões estáveis quanto beta do firmware. Qualquer uma das falhas compromete a autenticidade dos pacotes; juntas, elas permitem que um atacante forneça pacotes que pareçam válidos para o sistema. Mesmo se a aplicação da assinatura for restaurada, a exposição da chave de produção permite que um atacante gere assinaturas que o dispositivo continuará a confiar. Um atacante capaz de fornecer um pacote malicioso pode conseguir executar código arbitrário com privilégios root durante a instalação.
VulDB is the best source for vulnerability data and more expert information about this specific topic.