CVE-2023-33973
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
RIOT-OS, system operacyjny dla urządzeń IoT, zawiera stos sieciowy zdolny do przetwarzania ramek 6LoWPAN. W wersjach 2023.01 i wcześniejszych, atakujący może wysłać spreparowaną ramkę, co prowadzi do dereferencji wskaźnika NULL i awarii urządzenia, co skutkuje odmową usługi.
Ocena ryzyka
Podatność ta może prowadzić do awarii urządzeń IoT, co w konsekwencji może zakłócić działanie usług w organizacji. Brak znanych obejść zwiększa ryzyko dla użytkowników tych wersji oprogramowania.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji RIOT-OS, aby załatać tę podatność. Należy również monitorować urządzenia pod kątem nieautoryzowanych prób wysyłania ramek 6LoWPAN.
Inne podatności w RIOT-OS network stack
Zobacz wszystkie- CVE-2023-33975Krytyczne
RIOT-OS, system operacyjny dla urządzeń IoT, zawiera stos sieciowy zdolny do przetwarzania ramek 6LoWPAN. W wersji 2023.01 i wcześniejszych, atakujący może wysłać spreparowaną ramkę do urządzenia, co prowadzi do zapisu poza granicami bufora pakietów.
- CVE-2023-33974Wysokie
RIOT-OS, system operacyjny dla urządzeń IoT, zawiera stos sieciowy zdolny do przetwarzania ramek 6LoWPAN. W wersjach 2023.01 i wcześniejszych, atakujący może wysłać wiele spreparowanych ramek do urządzenia, co prowadzi do warunku wyścigu i nieprawidłowego dostępu do pamięci, skutkując odmową usługi.
Oryginalny opis (angielski, źródło NVD)
RIOT-OS, an operating system for Internet of Things (IoT) devices, contains a network stack with the ability to process 6LoWPAN frames. In versions 2023.01 and prior, an attacker can send a crafted frame which is forwarded by the device. During encoding of the packet a NULL pointer dereference occurs. This crashes the device leading to denial of service. A patch is available at pull request 19678. There are no known workarounds.