CVE-2025-54808
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Oprogramowanie MinKNOW firmy Oxford Nanopore Technologies w wersji 24.11 i wcześniejszych przechowuje tokeny uwierzytelniające w pliku w katalogu tymczasowym systemu (/tmp) na maszynie hosta. Katalog ten jest zazwyczaj czytelny dla wszystkich, co pozwala dowolnemu lokalnemu użytkownikowi lub aplikacji na dostęp do tokenu. Jeśli token wycieknie (np. przez malware lub inny lokalny exploit), a zdalny dostęp jest włączony, może zostać użyty do nawiązania nieautoryzowanych połączeń zdalnych z sekwenatorem. Podatność może być łańcuchowo wykorzystana z funkcjami zdalnego dostępu do wygenerowania tokenu deweloperskiego z zdalnego urządzenia. Tokeny deweloperskie mogą być tworzone z dowolnymi datami wygaśnięcia, co umożliwia trwały dostęp do sekwenatora i obejście standardowych mechanizmów uwierzytelniania.
Ocena ryzyka
Lokalny atakujący lub malware może odczytać token uwierzytelniający i przy włączonym zdalnym dostępie uzyskać nieautoryzowany, trwały dostęp do sekwenatora, omijając standardowe uwierzytelnianie.
Rekomendacja
Zaktualizuj MinKNOW do wersji nowszej niż 24.11. Jeśli to możliwe, wyłącz zdalny dostęp lub ogranicz go do zaufanych sieci. Zabezpiecz katalog /tmp i monitoruj dostęp do plików z tokenami.
Inne podatności w MinKNOW
Zobacz wszystkie- CVE-2024-35585Wysokie
Oxford Nanopore MinKNOW przed wersją 24.06 polega na adresie IP klienta do uwierzytelniania.
- CVE-2025-10937Średnie
Oprogramowanie MinKNOW firmy Oxford Nanopore Technologies w wersji 24.11 lub starszej tworzy plik tymczasowy do przechowywania lokalnego tokenu uwierzytelniającego podczas uruchamiania, przed skopiowaniem go do docelowej lokalizacji. Plik tymczasowy jest tworzony w katalogu dostępnym dla wszystkich użytkowników systemu. Nieautoryzowany lokalny użytkownik lub proces może wykorzystać to zachowanie, zakładając blokadę pliku na tymczasowym pliku tokenu za pomocą wywołania systemowego flock. Uniemożliwia to zakończenie procesu generowania tokenu. W rezultacie nie jest tworzony prawidłowy token lokalny, a oprogramowanie nie może wykonywać poleceń na sekwenatorze. Prowadzi to do odmowy usługi (DoS), blokując operacje sekwencjonowania.
Oryginalny opis (angielski, źródło NVD)
Oxford Nanopore Technologies' MinKNOW software at or prior to version 24.11 stores authentication tokens in a file located in the system's temporary directory (/tmp) on the host machine. This directory is typically world-readable, allowing any local user or application to access the token. If the token is leaked (e.g., via malware infection or other local exploit), and remote access is enabled, it can be used to establish unauthorized remote connections to the sequencer. Remote access must be enabled for remote exploitation to succeed. This may occur either because the user has enabled remote access for legitimate operational reasons or because malware with elevated privileges (e.g., sudo access) enables it without user consent. This vulnerability can be chained with remote access capabilities to generate a developer token from a remote device. Developer tokens can be created with arbitrary expiration dates, enabling persistent access to the sequencer and bypassing standard authentication mechanisms.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS