CVE-2021-21940

Heap-based buffer overflow w Anker Eufy Homebase 2 — RCE przez sieć

CVSS 10.0v3.1pub. 2021-10-12upd. 2024-11-21

W urządzeniu Anker Eufy Homebase 2 wykryto krytyczną podatność typu heap-based buffer overflow w komponencie pushMuxer, funkcji processRtspInfo. Atakujący może zdalnie, bez uwierzytelnienia, wywołać przepełnienie bufora poprzez przesłanie specjalnie spreparowanego pakietu sieciowego.

▸ Pokaż oryginał (EN)

A heap-based buffer overflow vulnerability exists in the pushMuxer processRtspInfo functionality of Anker Eufy Homebase 2 2.1.6.9h. A specially-crafted network packet can lead to a heap buffer overflow. An attacker can send a malicious packet to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z błędnej obsługi danych wejściowych w funkcji processRtspInfo modułu pushMuxer, która nie weryfikuje poprawnie rozmiaru przetwarzanych danych sieciowych. Przesłanie specjalnie spreparowanego pakietu sieciowego powoduje przepełnienie bufora na stercie (heap buffer overflow). Błąd sklasyfikowany jako CWE-122 i CWE-787 wskazuje na możliwość zapisu danych poza granicami zaalokowanego obszaru pamięci. Atak nie wymaga żadnej interakcji użytkownika ani posiadania uwierzytelnionego dostępu do urządzenia.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu pełne przejęcie kontroli nad urządzeniem, w tym wykonanie dowolnego kodu (RCE), naruszenie poufności i integralności danych oraz trwałą niedostępność urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do urządzenia na poziomie firewall oraz izolację urządzeń IoT w dedykowanym segmencie sieci.

Kogo dotyczy

Anker Eufy Homebase 2 z oprogramowaniem firmware w wersji 2.1.6.9h

Uwagi

Podatność została zgłoszona przez Cisco Talos Intelligence (raport TALOS-2021-1369). CVSS wynosi 10.0 (maksymalny), co odzwierciedla brak wymagań co do uwierzytelnienia, interakcji użytkownika oraz pełny zakres wpływu na poufność, integralność i dostępność.