PT-2020-12315 · Linux Vendor Firmware Service+7 · Fwupd+7
Justinsteven
·
Publicado
2020-06-05
·
Atualizado
2024-06-15
·
CVE-2020-10759
CVSS v3.1
6.0
Média
| Vetor | AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
fwupd (todas as versões)
Descrição
Foi encontrada uma falha de contorno de assinatura PGP, que poderia levar à instalação de firmware não assinado. A maior ameaça dessa vulnerabilidade é à confidencialidade e à integridade. É teoricamente possível, mas não prático, pois o Linux Vendor Firmware Service (LVFS) não está implementado ou habilitado nas versões do fwupd fornecidas com o Red Hat Enterprise Linux 7 e 8. Aproximadamente 500.000 endereços IP únicos estão afetados.
Recomendações
Como solução temporária, considere desativar o processo de verificação de assinatura até que um patch esteja disponível.
Restrinja o acesso ao LVFS para minimizar o risco de exploração.
Evite usar o fwupd até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Almalinux
Centos
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu
Fwupd