CVE-2020-14937

Contiki-NG: błędy pamięci w enkoderze/dekoderze BER protokołu SNMP

CVSS 9.1v3.1pub. 2020-08-18upd. 2024-11-21

W systemie Contiki-NG 4.4–4.5 wykryto podatności typu out-of-bounds read oraz out-of-bounds write w module SNMP odpowiedzialnym za kodowanie i dekodowanie danych w formacie BER. Błędy te mogą prowadzić do ujawnienia wrażliwych danych lub uszkodzenia pamięci, co czyni je poważnym zagrożeniem dla urządzeń IoT opartych na tej platformie.

▸ Pokaż oryginał (EN)

Memory access out of buffer boundaries issues was discovered in Contiki-NG 4.4 through 4.5, in the SNMP BER encoder/decoder. The length of provided input/output buffers is insufficiently verified during the encoding and decoding of data. This may lead to out-of-bounds buffer read or write access in BER decoding and encoding functions.

🤖 Analiza AI

Jak działa

W trakcie kodowania i dekodowania danych BER (Basic Encoding Rules) w module SNMP brakuje wystarczającej weryfikacji długości buforów wejściowych i wyjściowych. Atakujący może dostarczyć spreparowane dane, które spowodują odczyt lub zapis poza granicami przydzielonego bufora pamięci (CWE-125: out-of-bounds read, CWE-787: out-of-bounds write). Podatność jest dostępna zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Atakujący może odczytać obszary pamięci poza dozwolonym buforem, uzyskując dostęp do potencjalnie wrażliwych danych, lub nadpisać pamięć poza buforem, co może skutkować niestabilnością systemu lub odmową usługi (DoS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest śledzenie repozytoriów projektu Contiki-NG na GitHub (issue #1354) oraz aktualizacja do wersji wolnej od podatności. Jako środek tymczasowy warto rozważyć wyłączenie lub ograniczenie dostępu do usługi SNMP na podatnych urządzeniach.