CVE-2026-42854
KrytyczneStreszczenie
W wersjach przed 3.3.8, parser formularzy wieloczęściowych WebServer w arduino-esp32 alokuje tablicę o zmiennej długości na stosie, której rozmiar zależy od kontrolowanego przez atakującego pola nagłówka HTTP. Przekroczenie długości granicy większej niż ~8000 znaków prowadzi do przepełnienia stosu i potencjalnego wykonania zdalnego kodu.
Ocena ryzyka
Organizacje mogą być narażone na awarie systemu oraz możliwość zdalnego wykonania kodu przez atakujących, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 3.3.8 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów zabezpieczających przed atakami typu overflow.
Inne podatności w arduino-esp32
Zobacz wszystkie- CVE-2026-42855Wysokie
W wersjach przed 3.3.8, implementacja uwierzytelniania Digest w arduino-esp32 obliczała hasz uwierzytelniający na podstawie pola URI z nagłówka Authorization klienta, nie weryfikując, czy odpowiada ono rzeczywistemu żądaniu URI. To pozwala atakującemu na uwierzytelnienie się do innego chronionego URI, omijając kontrolę dostępu.
- CVE-2026-41429Wysokie
W wersjach przed 3.3.8 biblioteka arduino-esp32 ma problem z korupcją pamięci w obsłudze pakietów NBNS. Gdy NetBIOS jest włączony, urządzenie nasłuchuje na porcie UDP 137 i przetwarza nieufne żądania NBNS z lokalnej sieci.
Oryginalny opis (angielski, źródło NVD)
arduino-esp32 is an Arduino core for the ESP32, ESP32-S2, ESP32-S3, ESP32-C3, ESP32-C6 and ESP32-H2 microcontrollers. Prior to 3.3.8, the WebServer multipart form parser in arduino-esp32 allocates a Variable Length Array (VLA) on the stack whose size is derived from an attacker-controlled HTTP header field (Content-Type: multipart/form-data; boundary=...) without enforcing any length limit. Sending a boundary string longer than ~8000 characters overflows the 8192-byte task stack of the loopTask, causing a crash and potential remote code execution. This vulnerability is fixed in 3.3.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS