Plataforma
huawei
Componente
huawei-mate-20-pro
Corregido en
10.1.1
CVE-2020-9250 describe una vulnerabilidad de autenticación insuficiente en dispositivos Huawei Mate 20 Pro. Un atacante local sin privilegios puede aprovechar esta falla mediante la creación de un paquete de software malicioso. La explotación exitosa puede afectar el funcionamiento del servicio, comprometiendo potencialmente la integridad del dispositivo. Esta vulnerabilidad afecta a versiones anteriores a 10.1.0.160(C00E160R3P8), pero se ha solucionado en la versión 10.1.0.160.
La principal consecuencia de esta vulnerabilidad es la posibilidad de que un atacante local no autenticado pueda ejecutar código o acceder a recursos del sistema sin la debida autorización. Esto podría resultar en la modificación de datos, la instalación de malware o incluso el control completo del dispositivo. Si bien la severidad CVSS es baja, la naturaleza local de la explotación significa que un atacante con acceso físico al dispositivo puede explotar esta vulnerabilidad con relativa facilidad. La falta de autenticación adecuada permite a un atacante eludir los mecanismos de seguridad estándar, lo que aumenta el riesgo de compromiso del sistema.
La vulnerabilidad CVE-2020-9250 fue publicada el 20 de diciembre de 2024. No se ha reportado su inclusión en el KEV de CISA ni la existencia de exploits públicos activos. La descripción indica que la explotación requiere acceso local, lo que limita su alcance en comparación con vulnerabilidades remotas. La falta de información sobre campañas de explotación activas sugiere que, hasta el momento, el riesgo de explotación generalizada es bajo.
Users of Huawei Mate 20 Pro devices running versions prior to 10.1.0.160(C00E160R3P8) are at risk, particularly those who allow local software installation from untrusted sources or have weak physical security controls. Shared hosting environments where multiple users have access to the device are also at increased risk.
• windows / supply-chain:
Get-ScheduledTask | Where-Object {$_.TaskName -like '*malicious*'} | Get-ScheduledTask | Disable-ScheduledTask• linux / server:
journalctl -xe | grep -i 'authentication failure'• generic web:
curl -I http://<device_ip>/ | grep -i 'authentication'discovery
disclosure
public disclosure
Estado del Exploit
EPSS
0.05% (14% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2020-9250 es actualizar el dispositivo Huawei Mate 20 Pro a la versión 10.1.0.160 o posterior. Esta actualización incluye las correcciones necesarias para abordar la vulnerabilidad de autenticación insuficiente. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso físico al dispositivo para evitar la explotación local. Aunque no hay reglas de WAF o proxy específicas aplicables, es crucial implementar políticas de seguridad que limiten la instalación de software de fuentes no confiables.
Actualice su dispositivo HUAWEI Mate 20 Pro a la versión 10.1.0.160 o posterior. La actualización se puede realizar a través de la configuración del sistema o utilizando la aplicación HiSuite en su computadora. Asegúrese de hacer una copia de seguridad de sus datos importantes antes de realizar la actualización.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2020-9250 is a LOW severity vulnerability allowing an unauthenticated local attacker to craft a malicious software package, potentially impacting service availability on Huawei Mate 20 Pro devices.
You are affected if you are using a Huawei Mate 20 Pro with a version earlier than 10.1.0.160(C00E160R3P8).
Upgrade your Huawei Mate 20 Pro to version 10.1.0.160 or later to mitigate this vulnerability.
There is no widespread evidence of active exploitation, but the vulnerability remains a potential risk.
Refer to the Huawei security vulnerability list for details: https://consumer.huawei.com/en/security/
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.