Podatności NetX Duo

Klient MQTT NetX Duo wycieka pakiet przenoszący uszkodzoną wiadomość PUBLISH. Każda uszkodzona wiadomość PUBLISH kosztuje jeden pakiet lub łańcuch pakietów z puli odbiorczej sterownika sieciowego i nic go nie zwraca. Osoba atakująca, która może dostarczyć kilkadziesiąt takich wiadomości, wyczerpuje pulę i zatrzymuje cały ruch sieciowy przychodzący na urządzenie aż do jego ponownego uruchomienia.

Funkcja `_nx_snmp_utility_object_id_get` w dodatku SNMP NetX Duo nie weryfikuje deklarowanej długości danych OID względem rzeczywistego rozmiaru bufora, gdy OID używa wielobajtowego kodowania długości BER, więc zdalny atakujący może wysłać spreparowany pakiet SNMP z wielobajtową długością OID większą niż dostępny bufor, powodując odczyt poza granicami bufora pakietu do sąsiedniej pamięci sterty. Bajty poza zakresem są dekodowane jako wartości składników OID i zapisywane do wewnętrznego bufora ciągu OID agenta, uszkadzając stan agenta. W systemach z ochroną pamięci odczyt poza zakresem stwarza ryzyko awarii wątku agenta SNMP, powodując denial of service. W systemach wbudowanych bez ochrony pamięci odczyt cicho kończy się sukcesem i uszkadza stan wewnętrzny agenta danymi ze sterty.

Klient WebSocket w NetX Duo resetuje kursor odmaskowania do pierwszego NX_PACKET przy każdej iteracji przez łańcuch pakietów, podczas gdy górna granica pętli należy do bieżącego pakietu. W standardowym układzie puli pakietów zamaskowana ramka serwera podzielona na dwa pakiety powoduje, że pętla XOR przechodzi przez nieużywany obszar ładunku pierwszego pakietu i dalej przez blok kontrolny NX_PACKET drugiego pakietu. Czterobajtowy klucz maskujący WebSocket kontroluje zapisywane bajty, więc uszkodzenie jest wybierane przez atakującego, a nie przypadkowe.