PT-2022-10093 · Unknown · Contiki-Ng

Joakimeriksson · Publicado 2022-08-04 · Atualizado 2022-08-10 · CVE-2021-32771

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Contiki-NG anteriores à 4.7

Descrição

O Contiki-NG é um sistema operacional de código aberto e multiplataforma para dispositivos IoT. Um estouro de buffer pode ocorrer ao copiar um prefixo de endereço IPv6 na implementação RPL-Classic. Para acionar essa vulnerabilidade, o sistema Contiki-NG deve ter se juntado a um RPL DODAG; então, um invasor pode enviar um pacote DAO com uma opção Target contendo um comprimento de prefixo maior que 128 bits.

Recomendações

Para versões anteriores à 4.7, atualize para o Contiki-NG 4.7 ou aplique o patch no Contiki-NG PR #1615 para resolver o problema. Como solução alternativa temporária, considere restringir a capacidade de enviar pacotes DAO com comprimentos de prefixo grandes até que o patch seja aplicado.

Correção

Buffer Overflow

Enumeração de Fraquezas

CWE-120

Identificadores relacionados

CVE-2021-32771

GHSA-JQJF-V7V9-XP6W

Produtos afetados

Contiki-Ng

Referências · 8

• https://github.com/contiki-ng/contiki-ng/security/advisories/GHSA-jqjf-v7v9-xp6w · Nota
• https://github.com/contiki-ng/contiki-ng/pull/1615 · Correção
• https://github.com/contiki-ng/contiki-ng/pull/1615/commits/587ae59956e00316fd44fd7072ac3a6a07b4b20f · Correção
• https://github.com/contiki-ng/contiki-ng/releases/tag/release%2Fv4.8 · Nota
• https://t.me/cvenotify/34500 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-32771 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32771 · Nota de Segurança
• https://t.me/cibsecurity/47595 · Publicação no Telegram