PT-2022-25018 · Samsung · Samsung Mtower

Uvscan · Publicado 2022-09-05 · Atualizado 2022-09-08 · CVE-2022-39828

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Samsung mTower versões 0.3.0 e anteriores

Descrição

O problema está relacionado à falta de uma verificação no valor de retorno de EC KEY set private key na função sign pFwInfo, o que leva a uma negação de serviço.

Recomendações

Para as versões 0.3.0 e anteriores do Samsung mTower, considere desativar a função sign pFwInfo até que um patch esteja disponível para evitar possíveis ataques de negação de serviço.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Identificadores relacionados

CVE-2022-39828

Produtos afetados

Samsung Mtower

Referências · 6

• 🔥 https://github.com/Samsung/mTower/issues/76 · Exploit
• 🔥 https://github.com/Samsung/mTower/blob/18f4b592a8a973ce5972f4e2658ea0f6e3686284/tools/fwinfogen.c#L193 · Exploit
• https://osv.dev/vulnerability/CVE-2022-39828 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-39828 · Nota de Segurança
• https://t.me/cibsecurity/49281 · Publicação no Telegram
• https://openssl.org/docs/manmaster/man3/EC_KEY_set_private_key.html · Nota