Falhas do tipo CWE-1326

9 resultados

Raiz de confiança não imutável em hardware

Fraqueza onde o hardware não possui um ponto de partida de confiança imutável (como uma chave criptográfica, firmware ou código de inicialização) que não pode ser modificado ou contornado. Sem isso, um atacante consegue comprometer ou falsificar componentes críticos durante o boot ou em tempo de execução, invalidando toda a cadeia de segurança do dispositivo.

Exemplo

Um microcontrolador IoT que permite reprogram a área de boot via JTAG sem autenticação, ou um SoC cuja chave pública de verificação de firmware fica em memória volátil e pode ser sobrescrita. Um atacante carrega seu próprio firmware malicioso e o dispositivo inicializa com código comprometido.

Como mitigar

Implementar uma raiz de confiança imutável em hardware (e.g., ROM com chave criptográfica permanente, secure boot com chaves queimadas em fuse), validar criptograficamente cada etapa da inicialização, e proteger interfaces de debug (JTAG, UART) com autenticação ou desabilitá-las em produção.

CVE-2024-32742HIGHA vulnerability has been identified in SIMATIC CN 4100 (All versions < V3.0). The affected device contains an unrestricted USB port. An attaEPSS 0.4%CVE-2024-30111LOWMissing Root Detection vulnerability affects DRYiCE AEX v10EPSS 0.3%CVE-2024-8357HIGHVisteon Infotainment App SoC Missing Immutable Root of Trust in Hardware Local Privilege Escalation VulnerabilityEPSS 0.3%CVE-2022-38773MEDIUMAffected devices do not contain an Immutable Root of Trust in Hardware. With this the integrity of the code executed on the device can not bEPSS 0.3%CVE-2025-5834MEDIUMPioneer DMH-WT7600NEX Missing Immutable Root of Trust in Hardware Local Privilege Escalation VulnerabilityEPSS 0.3%CVE-2025-34502HIGHShuffle Master Deck Mate 2 Missing Secure BootEPSS 0.2%CVE-2025-31929MEDIUMA vulnerability has been identified in IEC 1Ph 7.4kW Child socket (8EM1310-2EH04-0GA0) (All versions), IEC 1Ph 7.4kW Child socket/ shutter (EPSS 0.2%CVE-2025-2762HIGHCarlinKit CPC200-CCPA Missing Root of Trust Local Privilege Escalation VulnerabilityEPSS 0.2%CVE-2025-34503HIGHShuffle Master Deck Mate 1 Unauthenticated EEPROM Firmware ExecutionEPSS 0.1%