CVE-2024-25393

Stack buffer overflow w RT-Thread — podatność w module AT server

CVSS 9.8v3.1pub. 2024-03-27upd. 2025-11-04

W komponencie AT server (net/at/src/at_server.c) systemu RT-Thread do wersji 5.0.2 włącznie występuje stack buffer overflow (przepełnienie bufora na stosie). Podatność uzyskała ocenę CVSS 9.8 i może być wykorzystana zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

A stack buffer overflow occurs in net/at/src/at_server.c in RT-Thread through 5.0.2.

🤖 Analiza AI

Jak działa

Błąd typu stack buffer overflow (CWE-121) polega na zapisaniu danych poza granicami bufora alokowanego na stosie w pliku net/at/src/at_server.c. Atakujący może dostarczyć odpowiednio spreparowane dane wejściowe przez interfejs sieciowy AT server, powodując nadpisanie obszarów pamięci stosu. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, a złożoność ataku jest niska.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem — prowadzi to do poufności, integralności i dostępności systemu (ocena C:H/I:H/A:H w CVSS), co w praktyce oznacza możliwość zdalnego wykonania kodu (RCE) lub destabilizacji urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium GitHub RT-Thread (issue #8288) oraz publikacji badaczy bezpieczeństwa wskazanych w referencjach w celu uzyskania aktualnych informacji o poprawkach. Jeśli aktualizacja nie jest możliwa, należy rozważyć wyłączenie lub izolację sieciową komponentu AT server.

Kogo dotyczy

RT-Thread RTOS w wersjach do 5.0.2 włącznie, z włączonym komponentem AT server (net/at/src/at_server.c).

Uwagi

Podatność została zgłoszona przez badaczy z HN Security (HNS-2024-05) i ujawniona na listach oss-security oraz Full Disclosure w marcu 2024 roku, co wynika z referencji do publikacji HNS i list dyskusyjnych wskazanych w opisie.