ЗАГОЛОВКИ
В компоненте Acer Agent Service, поставляемом с утилитами NitroSense и PredatorSense, обнаружена уязвимость, связанная с использованием жёстко заданного ключа AES-шифрования. Локальный злоумышленник при определённых условиях может воспользоваться встроенным ключом для доступа к защищённой информации или выполнения несанкционированных действий. Уровень опасности по CVSS — 4.9 (средний).
Подробности
Уязвимость затрагивает Acer Agent Service — служебный компонент, входящий в состав программного обеспечения NitroSense и PredatorSense. Проблема заключается в использовании жёстко заданного (hard-coded) ключа AES-шифрования внутри программного обеспечения. Поскольку ключ не является уникальным для каждой установки и не может быть изменён или сгенерирован динамически, злоумышленник, получивший локальный доступ к системе, при определённых обстоятельствах способен извлечь встроенный ключ и использовать его для расшифровки защищённых данных либо для выполнения действий, на которые у него нет законных прав. Согласно описанию CVE, атака требует локального доступа к устройству — это снижает вероятность массового удалённого эксплуатирования, но не отменяет риска в сценариях, когда злоумышленник уже имеет учётную запись в системе, работает с вредоносным ПО на хосте или получил физический доступ к ноутбуку. Базовая оценка по CVSS составляет 4.9, что соответствует среднему уровню опасности. Конкретные версии NitroSense и PredatorSense, в которых присутствует проблема, в записи CVE не уточняются — следует ориентироваться на рекомендации производителя.Что делать
Основная рекомендация — установить обновлённые версии NitroSense и PredatorSense (а также сопутствующего компонента Acer Agent Service) сразу после их публикации вендором. Acer традиционно распространяет подобные исправления через свой центр поддержки и утилиты обновления. До выхода патча стоит рассмотреть следующие меры: - Ограничить круг пользователей, имеющих локальный доступ к устройству, и не предоставлять обычным учётным записям избыточных прав. - Использовать средства защиты конечных точек (EDR), способные выявлять попытки доступа к защищённым данным и аномальное поведение служебных процессов. - По возможности отключить или удалить Acer Agent Service, если функциональность NitroSense/PredatorSense не используется. - Следить за официальными уведомлениями Acer и обновлениями в базе CVE.Итог
CVE-2026-50603 — классический пример уязвимости, вызванной небезопасной практикой хранения криптографических ключей. Средний уровень критичности и необходимость локального доступа делают её менее «громкой» на фоне удалённо эксплуатируемых дыр, однако для корпоративных парков ноутбуков Acer и пользователей, работающих с конфиденциальными данными, риск вполне реален. Своевременное обновление фирменного ПО остаётся самым надёжным способом закрыть проблему.Источник: CVE Project (cvelistV5)