Vulnerabilidad en MITRE (CVE-2023-50430)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

09/12/2023

Última modificación:

13/12/2023

Descripción

Goodix Fingerprint Device, tal como se envía en las computadoras Dell Inspiron 15, no sigue Secure Device Connection Protocol (SDCP) al registrarse a través de Linux y acepta un paquete de configuración no autenticado para seleccionar la base de datos de plantilla de Windows, lo que permite omitir la autenticación de Windows Hello mediante registrar la huella digital de un atacante.

Impacto

Vector 3.x

CVSS:3.1/AV:P/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.40 MEDIA
Vector: CVSS:3.1/AV:P/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Físico
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

6.40

Gravedad 3.x

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:o:goodix:fingerprint_sensor_firmware:-:::::::*
cpe:2.3:h:goodix:fingerprint_sensor:-:::::::*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Referencias a soluciones, herramientas e información

https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i/