CVE-2026-91881
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Dell Terraform Provider for Redfish przed wersją 1.6.2 zawiera podatność nieprawidłowej walidacji certyfikatów w komponencie transportu HTTP. Niezautoryzowany atakujący ze zdalnym dostępem może wykorzystać tę podatność do przechwycenia całego ruchu Redfish BMC, w tym poświadczeń, poprzez atak man-in-the-middle, ponieważ weryfikacja certyfikatów TLS jest bezwarunkowo wyłączona.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych i systemów zarządzanych przez Redfish, co prowadzi do poważnego naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj Dell Terraform Provider for Redfish do wersji 1.6.2 lub nowszej i upewnij się, że weryfikacja certyfikatów TLS jest włączona.
Inne podatności w Dell Terraform Provider for Redfish
Oryginalny opis (angielski, źródło NVD)
Dell Terraform Provider for Redfish, versions prior to 1.6.2, contains an Improper Certificate Validation vulnerability in the HTTP transport component. An unauthenticated attacker with remote access could potentially exploit this vulnerability, leading to information exposure and unauthorized access. This is a Critical severity vulnerability as it allows an unauthenticated attacker to intercept all Redfish BMC traffic including credentials by performing a man-in-the-middle attack, since TLS certificate verification is unconditionally disabled in the base HTTP transport. Dell recommends customers to upgrade at the earliest opportunity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS