CVE-2019-11851

Usługa ACENet działająca na urządzeniach Sierra Wireless ALEOS jest podatna na klasyczny buffer overflow (CWE-120). Atakujący może wysłać spreparowany pakiet sieciowy, który powoduje przepełnienie bufora w pamięci procesu. Skutkuje to nadpisaniem obszarów pamięci i przejęciem kontroli nad przepływem wykonania programu, co umożliwia uruchomienie dowolnego kodu (RCE). Atak nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika.

Atakujący może zdalnie wykonać dowolny kod na podatnym urządzeniu, co w praktyce oznacza pełne przejęcie kontroli nad routerem lub bramą IoT, w tym możliwość modyfikacji konfiguracji, przechwytywania ruchu sieciowego oraz naruszenia poufności, integralności i dostępności systemu.

Należy zaktualizować oprogramowanie ALEOS do wersji 4.4.9 lub nowszej, 4.9.5 lub nowszej (dla gałęzi 4.5.x–4.9.x) albo 4.14.0 lub nowszej (dla gałęzi 4.10.x–4.13.x). Szczegółowe informacje dostępne są w biuletynie bezpieczeństwa producenta SWI-PSA-2021-001 opublikowanym przez Sierra Wireless.

Sierra Wireless ALEOS w wersjach przed 4.4.9, od 4.5.x do 4.9.x przed 4.9.5 oraz od 4.10.x do 4.13.x przed 4.14.0; dotyczy urządzeń Sierra Wireless LX40, LX60, MP70 oraz MP70E.

Podatność została opublikowana w bazie CVE w grudniu 2022 roku, natomiast biuletyn bezpieczeństwa producenta nosi oznaczenie SWI-PSA-2021-001, co sugeruje, że patch był dostępny wcześniej, przed oficjalną publikacją CVE.