CVE-2017-2922
KrytyczneStreszczenie
W podatności CVE-2017-2922 występuje błąd w zarządzaniu pamięcią w implementacji protokołu Websocket w Cesanta Mongoose 6.8. Specjalnie skonstruowany pakiet websocket może prowadzić do przydzielenia bufora z pozostawionymi nieaktualnymi wskaźnikami, co skutkuje podatnością typu use-after-free, mogącą być wykorzystaną do zdalnego wykonania kodu.
Ocena ryzyka
Organizacja jest narażona na ryzyko zdalnego wykonania kodu przez atakującego, który może wykorzystać tę podatność poprzez wysłanie odpowiednio skonstruowanego pakietu websocket.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Cesanta Mongoose, aby usunąć tę podatność oraz monitorowanie ruchu sieciowego w celu wykrycia podejrzanych pakietów websocket.
Oryginalny opis (angielski, źródło NVD)
An exploitable memory corruption vulnerability exists in the Websocket protocol implementation of Cesanta Mongoose 6.8. A specially crafted websocket packet can cause a buffer to be allocated while leaving stale pointers which leads to a use-after-free vulnerability which can be exploited to achieve remote code execution. An attacker needs to send a specially crafted websocket packet over the network to trigger this vulnerability.