Informazioni sul CVE-2024-41125
Out-of-bounds read in SNMP when decoding a string in Contiki-NG
CWE ID: CWE-125
Base Score (CVSS): N/A
CVE: CVE-2024-41125
Descrizione: Contiki-NG è un sistema operativo open-source, multipiattaforma per dispositivi IoT. Una lettura al di fuori dei limiti di 1 byte può essere attivata quando un pacchetto viene inviato a un dispositivo che opera con il sistema operativo Contiki-NG e abilitato SNMP. Il modulo SNMP è disabilitato nella configurazione predefinita di Contiki-NG. La vulnerabilità si trova nel modulo os/net/app-layer/snmp/snmp-ber.c, dove la funzione snmp_ber_decode_string_len_buffer decodifica la lunghezza della stringa da un pacchetto SNMP ricevuto. In un punto, viene letto un singolo byte dal buffer, senza verificare che il buffer abbia un altro byte disponibile, il che può portare a una lettura al di fuori dei limiti. Il problema è stato corretto nella pull request #2936 di Contiki-NG. Sarà incluso nella prossima release di Contiki-NG. Gli utenti sono consigliati a applicare la patch manualmente o a attendere la prossima release. Una soluzione alternativa è disabilitare il modulo SNMP nella configurazione di build di Contiki-NG.
Vettore di attacco CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Adjacent Network, Privilegi: None, Interazione utente: None, Confidenzialità: High, Integrità: High, Disponibilità: High.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | A | Adjacent Network | L’attacco richiede accesso a una rete locale condivisa. |
| Attack Complexity (AC) | H | High | L’attacco richiede condizioni particolari o avanzate. |
| Privileges Required (PR) | N | None | Non sono richiesti privilegi. |
| User Interaction (UI) | N | None | Non è richiesta interazione dell’utente. |
| Scope (S) | C | Changed | La vulnerabilità impatta su componenti esterni. |
| Confidentiality Impact (C) | H | High | Grave impatto sulla riservatezza. |
| Integrity Impact (I) | H | High | Grave impatto sull’integrità. |
| Availability Impact (A) | H | High | Rende il sistema inutilizzabile. |
Riferimenti esterni
- https://github.com/contiki-ng/contiki-ng/security/advisories/GHSA-qjj3-gqx7-438w
- https://github.com/contiki-ng/contiki-ng/pull/2936
Prodotti interessati
- contiki-ng – contiki-ng
Relazioni con altri prodotti
Produttore:contiki-ng
Prodotto: contiki-ng
Anno: 2024
CWE: CWE-125
CVSS: 0.0