CVE-2026-55687

Espressif IoT Development Framework (ESP-IDF) w wersjach 5.5.4 i 6.0 ma podatność w komponencie esp_tee, który udostępnia wrappery do bezpiecznych usług sprzętowych. Atakujący może wykorzystać te wrappery do nieautoryzowanego dostępu do peryferiów TEE.

W frameworku ESP-IDF w wersjach 5.5.5, 6.0.1 i 6.1 funkcja BlueDroid A2DP sink btc_a2dp_sink_handle_inc_media() odczytuje pole znacznika czasu z bufora mediów przed sprawdzeniem, czy pakiet w ogóle zawiera to pole. Sparowane źródło audio BR/EDR w zasięgu radiowym może wysłać zniekształcony pakiet A2DP, powodując odczyt poza zakresem bufora do sąsiedniej pamięci sterty i ograniczone ujawnienie jej zawartości.

ESF-IDF (Espressif IoT Development Framework) w wersjach 5.2.6, 5.3.5, 5.4.4, 5.5.3 i 6.0 zawiera podatność odczytu poza zakresem w parserze poleceń vendor AVRCP BlueDroid (funkcja avrc_pars_vendor_cmd). Podatność została załatana w wersjach 5.2.7, 5.3.6, 5.4.5, 5.5.4 i 6.0.1.

Przepełnienie bufora sterty w komponencie protocomm frameworku ESP-IDF dla IoT. Luka występuje podczas ustanawiania sesji Security Scheme 2 (SRP6a), gdzie długość pola username dostarczonego przez klienta jest kopiowana do bufora o mniejszym rozmiarze, co prowadzi do uszkodzenia sterty.

W frameworku ESP-IDF Espressif IoT Development Framework występuje podatność na dereferencję wskaźnika NULL w komponencie esp_http_server podczas negocjacji podprotokołu WebSocket. Brak sprawdzenia wyniku tokenizacji nagłówka Sec-WebSocket-Protocol może doprowadzić do awarii serwera przed uwierzytelnieniem.

W Espressif IoT Development Framework (ESP-IDF) w wersjach 5.5.4 i 6.0 wykryto podatność w kilku wrapperach usług ESP-TEE. Nie sprawdzają one poprawności wszystkich wskaźników dostarczonych przez wywołującego, co pozwala na odczyt pamięci TEE przez niezaufane środowisko REE. Problem został naprawiony w wersjach 5.5.5 i 6.0.1.

ESP-IDF (Espressif IoT Development Framework) zawiera podatność na odczyt poza zakresem w parserze opcji serwera DHCP w komponencie lwIP. Zdalny atakujący może wysłać spreparowane żądanie DHCP, powodując odczyt poza buforem opcji do sąsiedniej pamięci sterty.

W ESP-IDF (framework IoT od Espressif) w wersjach 5.5.1, 5.4.3, 5.3.4, 5.2.6, 5.1.6 i wcześniejszych, w funkcji avrc_vendor_msg() stosu BlueDroid AVRCP, rozmiar bufora był walidowany przy użyciu AVRC_MIN_CMD_LEN (20 bajtów), ale rzeczywiste dane nagłówka zapisywane przed danymi vendor przekraczają tę wartość (łącznie 29 bajtów). Może to prowadzić do zapisu poza przydzieloną pamięcią, gdy vendor_len zbliża się do limitu bufora, powodując uszkodzenie pamięci, awarie lub inne nieokreślone zachowania.

ESF-IDF (ESP-IDF) w wersjach 5.5.1, 5.4.3, 5.3.4, 5.2.6, 5.1.6 i wcześniejszych ma podatność w stosie Bluetooth (BlueDroid). Funkcja bta_dm_sdp_result() używa tablicy o stałym rozmiarze uuid_list[32][MAX_UUID_SIZE] do przechowywania odkrytych UUID usług podczas procesu SDP. Na nowoczesnych urządzeniach Bluetooth liczba dostępnych usług może przekroczyć ten limit (32), co prowadzi do zapisu poza granicami tablicy.