CVE-2023-28379

Uszkodzenie pamięci w HTTP Server Weston Embedded uC-HTTP — RCE

CVSS 9.0v3.1pub. 2023-11-14upd. 2025-11-04

Podatność na uszkodzenie pamięci (memory corruption) w module obsługi granic formularzy (form boundary) serwera HTTP biblioteki Weston Embedded uC-HTTP v3.01.01 umożliwia zdalne wykonanie kodu. Atakujący może wysłać specjalnie spreparowany pakiet sieciowy, aby wywołać podatność bez jakiegokolwiek uwierzytelnienia.

▸ Pokaż oryginał (EN)

A memory corruption vulnerability exists in the HTTP Server form boundary functionality of Weston Embedded uC-HTTP v3.01.01. A specially crafted network packet can lead to code execution. An attacker can send a malicious packet to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Błąd dotyczy nieprawidłowej obsługi granic formularzy (form boundary) w serwerze HTTP — podatność sklasyfikowana jako CWE-119 (nieprawidłowe ograniczenie operacji w buforze pamięci) oraz CWE-787 (zapis poza granicami bufora, out-of-bounds write). Przesłanie specjalnie spreparowanego pakietu sieciowego do serwera HTTP powoduje przekroczenie granicy bufora, co prowadzi do uszkodzenia pamięci procesu. Skuteczne wykorzystanie podatności może doprowadzić do przejęcia kontroli nad przepływem wykonania kodu w podatnej aplikacji.

Skutki

Atakujący zdalny, nieuwierzytelniony może doprowadzić do wykonania dowolnego kodu (RCE) w kontekście podatnego procesu oraz potencjalnie do pełnego przejęcia systemu, utraty poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o poprawkach dostępne są w raporcie Cisco Talos (TALOS-2023-1738) pod adresem https://talosintelligence.com/vulnerability_reports/TALOS-2023-1738