p PatchFirst

CVE-2026-109399

CVE-2026-109399 · SWUpdate through 2026.05.1 CMS Signature Verification Bypass via Embedded Intermediates

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

SWUpdate through 2026.05.1 contains an improper certificate validation vulnerability in crypto/swupdate_cms_verify_openssl.c that trusts untrusted X.509 certificates embedded in CMS SignedData for chain building. Attackers holding a signing key from a sibling intermediate under the same root can embed that intermediate in the signature to install malicious updates.

CVSS 9.2 · Критический · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • swupdate

    Версии
    • ≥ 0, ≤ 2026.05.1: Затронуто (custom)

    Нет опубликованного исправления

  • swupdate Debian:12

    Версии
    • 2022.12+dfsg-4
    • 2022.12+dfsg-4+deb12u1
    • 2022.12+dfsg-4+deb12u1~bpo11+1
    • 2022.12+dfsg-4+deb12u2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2022.12+dfsg-4+deb12u3

    Обновитесь до 2022.12+dfsg-4+deb12u3

  • swupdate Debian:14

    Версии
    • 2024.12.1+dfsg-3
    • 2025.05+dfsg-1
    • 2025.05+dfsg-2
    • 2025.05+dfsg-2~bpo13+1
    • 2025.05+dfsg-3
    • 2025.05+dfsg-3~bpo13+1
    • 2025.12+dfsg-1
    • 2025.12+dfsg-10
    • 2025.12+dfsg-10~bpo13+1
    • 2025.12+dfsg-10~bpo13+2
    • 2025.12+dfsg-2
    • 2025.12+dfsg-2~bpo13+1
    • 2025.12+dfsg-3
    • 2025.12+dfsg-4
    • 2025.12+dfsg-5
    • 2025.12+dfsg-6
    • 2025.12+dfsg-7
    • 2025.12+dfsg-7~bpo13+1
    • 2025.12+dfsg-8
    • 2025.12+dfsg-9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2026.05+dfsg-1

    Обновитесь до 2026.05+dfsg-1

  • swupdate Ubuntu:22.04:LTS

    Версии
    • 2020.11-2
    • 2021.04-1.1
    • 2021.04-2
    • 2021.04-2build1
    • 2021.11-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • swupdate Ubuntu:24.04:LTS

    Версии
    • 2023.05+dfsg-3
    • 2023.05+dfsg-4
    • 2023.05+dfsg-4build1
    • 2023.05+dfsg-5
    • 2023.12+dfsg-1
    • 2023.12.1+dfsg-1ubuntu1
    • 2023.12.1+dfsg-1ubuntu4
    • 2023.12.1+dfsg-1ubuntu5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • swupdate Ubuntu:26.10

    Версии
    • 2025.12+dfsg-4ubuntu1
    • 2026.05+dfsg-3ubuntu2
    • 2026.05+dfsg-4ubuntu1
    • 2026.05.1+dfsg-1ubuntu1
    • 2026.05.1+git20261001+dfsg-1ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • swupdate Ubuntu:26.04:LTS

    Версии
    • 2025.05+dfsg-2ubuntu1
    • 2025.05+dfsg-3ubuntu1
    • 2025.12+dfsg-1ubuntu1
    • 2025.12+dfsg-2ubuntu1
    • 2025.12+dfsg-3ubuntu1
    • 2025.12+dfsg-4ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →