CVE-2022-33211

Uszkodzenie pamięci w modemie Qualcomm — błąd obliczania rozmiaru wiadomości CoAP

CVSS 9.8v3.1pub. 2023-04-13upd. 2024-11-21

Podatność krytyczna w oprogramowaniu modemów Qualcomm polegająca na uszkodzeniu pamięci (memory corruption) wskutek nieprawidłowej weryfikacji rozmiaru serializowanej wiadomości protokołu CoAP. Ocena CVSS 9.8 wskazuje na możliwość zdalnego wykorzystania bez jakiejkolwiek interakcji użytkownika czy uwierzytelnienia.

▸ Pokaż oryginał (EN)

memory corruption in modem due to improper check while calculating size of serialized CoAP message

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowego sprawdzania (improper check) podczas obliczania rozmiaru serializowanej wiadomości protokołu CoAP (Constrained Application Protocol) w warstwie modemowej. Niepoprawna kalkulacja rozmiaru bufora (CWE-131) prowadzi do nieprawidłowego zapisu lub odczytu poza przydzielonym obszarem pamięci (CWE-20), co skutkuje jej uszkodzeniem. Atakujący może wywołać ten błąd poprzez sieć, przesyłając specjalnie spreparowaną wiadomość CoAP do podatnego modemu.

Skutki

Pomyślne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie kodu (RCE) lub destabilizację urządzenia, potencjalnie prowadząc do przejęcia pełnej kontroli nad modułem modemowym lub niedostępności usług komunikacyjnych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Qualcomm z kwietnia 2023 r. dostępny pod adresem: https://www.qualcomm.com/company/product-security/bulletins/april-2023-bulletin

Kogo dotyczy

Oprogramowanie firmware modemów Qualcomm: MDM8207, MDM9205, MDM9206 oraz powiązane układy — szczegółowe wersje wskazane w referencjach producenta (biuletyn bezpieczeństwa Qualcomm, kwiecień 2023).