PT-2024-20202 · Alpine · Alpine Halo9

Alex Plaskett + 2 · Publicado 2024-06-21 · Atualizado 2024-10-03 · CVE-2024-23960

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.6

Média

Vetor base

AV:P/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Alpine Halo9 (versões afetadas não especificadas)

Descrição

Esta vulnerabilidade permite que invasores fisicamente presentes contornem o mecanismo de validação de assinatura em instalações afetadas de dispositivos Alpine Halo9. Não é necessária autenticação para explorar esta vulnerabilidade. A falha existe no mecanismo de validação de assinatura de metadados do firmware devido à falta de verificação adequada de uma assinatura criptográfica. Um invasor pode aproveitar isso, potencialmente em conjunto com outras vulnerabilidades, para executar código arbitrário no contexto de root.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2024-23960

ZDI-24-845

Produtos afetados

Alpine Halo9

Referências · 6

• https://zerodayinitiative.com/advisories/ZDI-24-845 · Nota de Segurança
• https://t.me/cvedetector/6600 · Publicação no Telegram
• https://t.me/cvenotify/96466 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-23960 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-23960 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1804722934008680598 · Publicação no Twitter