CVE-2021-21941

Use-after-free w Anker Eufy Homebase 2 umożliwia zdalne wykonanie kodu

CVSS 9.0v3.1pub. 2021-10-12upd. 2024-11-21

Podatność typu use-after-free w funkcji pushMuxer CreatePushThread urządzenia Anker Eufy Homebase 2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu bez uwierzytelnienia. Wysoki wynik CVSS (9.0) oraz zdalna exploitowalność czynią ją poważnym zagrożeniem dla bezpieczeństwa sieci domowych.

▸ Pokaż oryginał (EN)

A use-after-free vulnerability exists in the pushMuxer CreatePushThread functionality of Anker Eufy Homebase 2 2.1.6.9h. A specially-crafted set of network packets can lead to remote code execution.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu zarządzania pamięcią (use-after-free) w komponencie pushMuxer, konkretnie w wątku tworzonym przez funkcję CreatePushThread. Atakujący może spreparować specjalnie skonstruowany zestaw pakietów sieciowych, który prowokuje odwołanie do już zwolnionego obszaru pamięci. Skutkiem może być przejęcie kontroli nad przepływem wykonania programu, co w konsekwencji umożliwia zdalne wykonanie kodu (RCE).

Skutki

Udane wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu na urządzeniu bez konieczności uwierzytelnienia, co może skutkować pełnym przejęciem kontroli nad urządzeniem oraz potencjalnie całą siecią lokalną.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się izolowanie urządzenia w segmencie sieci oraz ograniczenie dostępu do niego z zewnętrznych sieci poprzez firewall.

Kogo dotyczy

Anker Eufy Homebase 2 z oprogramowaniem firmware w wersji 2.1.6.9h

Uwagi

Podatność została zgłoszona przez Cisco Talos Intelligence (raport TALOS-2021-1370). Wektor ataku sieciowy bez wymaganego uwierzytelnienia i bez interakcji użytkownika, jednak wysoka złożoność ataku (AC:H) nieznacznie obniża ryzyko masowej eksploatacji.