CVE-2026-121606 Verificación incorrecta de firma en Qihoo 360 D621-2/D603-2/D600-2/D619/D606-6/D706, función verify_sign
La manipulación del argumento sign en la función verify_sign del archivo fs2/bin/iscm, componente Firmware Signature Verification, provoca una verificación incorrecta de firma criptográfica. El ataque puede lanzarse de forma remota y el exploit se divulgó públicamente; el fabricante fue contactado pero no respondió.
CVSS 3.1
- CVSS 4.010.0 · crítica
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 15
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Qihoo 360 D621-2
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D603-2
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D600-2
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D619
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D606-6
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qihoo 360 D706
6.4.06.4.16.4.26.4.36.4.46.4.56.4.66.4.76.4.86.4.9
Qué hacer
- Verificá si usás D621-2 y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 10.0 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
CVSS 4.0 · 10.0 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Alta
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 10.0 CRÍTICA
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
Descripción original
A vulnerability has been found in Qihoo 360 D621-2, D603-2, D600-2, D619, D606-6 and D706 up to 6.4.9. Affected by this issue is the function verify_sign of the file fs2/bin/iscm of the component Firmware Signature Verification. Such manipulation of the argument sign leads to improper verification of cryptographic signature. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.