CVE-2021-42147

Buffer over-read w Contiki-NG tinyDTLS — zdalne DoS przez spreparowany pakiet

CVSS 9.1v3.1pub. 2024-01-24upd. 2025-05-30

Podatność typu buffer over-read w funkcji dtls_sha256_update biblioteki tinyDTLS w projekcie Contiki-NG umożliwia zdalnemu atakującemu wywołanie odmowy usługi (DoS). Krytyczny poziom CVSS wynika z braku wymagań uwierzytelnienia i sieciowej dostępności podatnego komponentu.

▸ Pokaż oryginał (EN)

Buffer over-read vulnerability in the dtls_sha256_update function in Contiki-NG tinyDTLS through master branch 53a0d97 allows remote attackers to cause a denial of service via crafted data packet.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowany pakiet danych do urządzenia korzystającego z tinyDTLS. Funkcja dtls_sha256_update nieprawidłowo obsługuje dane wejściowe, co skutkuje odczytem danych poza granicą przydzielonego bufora (buffer over-read, CWE-125). Skutkuje to awaryjnym zakończeniem działania procesu lub niestabilnością systemu, prowadząc do odmowy usługi.

Skutki

Zdalny atakujący bez uwierzytelnienia może spowodować odmowę usługi (DoS) na urządzeniu korzystającym z podatnej biblioteki. Podatność może również prowadzić do nieuprawnionego odczytu fragmentów pamięci procesu (ujawnienie informacji).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację biblioteki tinyDTLS do wersji zawierającej poprawkę dla funkcji dtls_sha256_update. Do czasu aktualizacji należy ograniczyć dostęp sieciowy do urządzeń korzystających z podatnej biblioteki.

Kogo dotyczy

Contiki-NG tinyDTLS — gałąź master do commitu 53a0d97 włącznie

Uwagi

Szczegóły techniczne podatności opublikowano w serwisie Full Disclosure w styczniu 2024 roku (seclists.org/fulldisclosure/2024/Jan/20). Data CVE publikacji (2024-01-24) jest późniejsza niż data przypisania identyfikatora (CVE-2021-42147), co sugeruje opóźnienie w procesie zgłoszenia.