PT-2025-11193 · Espressif · Espressif Esp-Idf

Publicado 2025-03-13 · Atualizado 2025-03-13 · CVE-2024-53406

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Espressif ESP-IDF versão 5.3.0

Descrição: O problema está relacionado a Permissões Inseguras, o que resulta em bypass de Autenticação. Especificamente, durante a fase de reconexão, o dispositivo reutiliza a chave de sessão de uma sessão de conexão anterior. Esse comportamento cria uma oportunidade para que atacantes executem ataques de bypass de segurança.

Recomendações: Para o Espressif ESP-IDF versão 5.3.0, como medida temporária (workaround), considere restringir a fase de reconexão para impedir a reutilização de chaves de sessão até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2024-53406

Produtos afetados

Espressif Esp-Idf

Referências · 5

• 🔥 https://github.com/yangting111/BLE_TEST/blob/main/result/PoC/Esp/sk_reuse.md · Exploit
• https://github.com/espressif/esp-idf · Nota
• https://twitter.com/CVEnew/status/1900238107095527880 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-53406 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-53406 · Nota de Segurança