Podatności Zephyr Bluetooth Mesh

Podatność w stosie Bluetooth Mesh w Zephyr powoduje trwałą utratę kontekstów wiadomości z puli, co prowadzi do odmowy usługi (DoS) po wyczerpaniu puli. Atakujący w sieci mesh może celowo wywołać wyciek kontekstów, a urządzenie przestaje odpowiadać na żądania do czasu restartu.

Podatność w stosie Bluetooth Mesh Zephyr dotyczy obsługi pakietów Solicitation w funkcji sol_pdu_decrypt(). Odebrany pakiet PDU jest kopiowany do stałego bufora 17-bajtowego na stosie bez sprawdzania długości źródła, co w wersjach produkcyjnych (gdzie asercje są wyłączone) prowadzi do przepełnienia bufora. Atakujący może wysłać specjalnie spreparowaną reklamę Bluetooth, która spowoduje zapis danych poza bufor, bez potrzeby posiadania kluczy szyfrujących.

Niedomiar liczby całkowitej w funkcji bt_mesh_sol_recv() w obsłudze zapytań Bluetooth Mesh (subsys/bluetooth/mesh/solicitation.c) prowadzi do zapisu poza dozwolonym obszarem. Gdy CONFIG_BT_MESH_OD_PRIV_PROXY_SRV jest włączone, funkcja analizuje ramki PDU zapytań z surowych reklam BLE. Pętla parsowania AD odczytuje kontrolowaną przez atakującego długość (reported_len) i oblicza reported_len - 3 bez sprawdzania, czy reported_len >= 3. Gdy reported_len jest mniejsze niż 3, odejmowanie daje ujemną wartość, która omija zabezpieczenie długości i jest niejawnie konwertowana na bardzo duży rozmiar size_t przy przekazywaniu do net_buf_simple_pull_mem(). W kompilacjach bez asercji zawija to długość bufora i przesuwa wskaźnik danych daleko poza zakres, powodując odczyt z nieprawidłowej pamięci. Urządzenie BLE w pobliżu może to wywołać za pomocą reklamy niełączącej z strukturą AD UUID16 i spreparowaną długością, bez konieczności parowania lub wcześniejszego skojarzenia, potencjalnie prowadząc do odmowy usługi lub zdalnego wykonania kodu.