PT-2024-11021 · Unknown · Contiki-Ng

Jerrytesting + 1 · Publicado 2024-01-24 · Atualizado 2024-01-31 · CVE-2021-42143

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Nome do software vulnerável e versões afetadas

Contiki-NG tinyDTLS até o branch master 53a0d97

Descrição

Existe uma falha no tratamento da mensagem de handshake ClientHello, na qual um bug de loop infinito pode ser acionado por invasores remotos que enviem uma mensagem malformada com um número ímpar de conjuntos de criptografia. Isso resulta em uma negação de serviço, consumindo todos os recursos, e uma leitura excessiva do buffer que pode divulgar informações confidenciais.

Recomendações

Para o Contiki-NG tinyDTLS até o branch master 53a0d97, considere desativar o tratamento de mensagens de handshake ClientHello com conjuntos de criptografia de comprimento ímpar como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao módulo tinyDTLS para minimizar o risco de exploração. Evite usar a variável cipher suites na mensagem de handshake afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

CVE-2021-42143

Produtos afetados

Contiki-Ng

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2021-42143 · Nota de Segurança
• https://t.me/cvenotify/69407 · Publicação no Telegram
• https://seclists.org/fulldisclosure/2024/Jan/16 · Nota
• https://osv.dev/vulnerability/CVE-2021-42143 · Aviso do Fabricante
• http://seclists.org/fulldisclosure/2024/Jan/16 · Nota
• https://twitter.com/CVEnew/status/1750221657862439298 · Publicação no Twitter