CVE-2026-107836
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
RIOT w wersji 2026.07 i wcześniejszych, funkcja nanocoap_sock_get_slice() akceptuje odpowiedź Block2, gdy _block_cb() widzi oczekiwany numer bloku, ale nie weryfikuje, czy rozmiar bloku i offset kontrolowane przez serwer pasują do żądanej geometrii. Złośliwy serwer CoAP może zwrócić oczekiwany numer bloku z większym rozmiarem, powodując niedomiar w obliczeniach i odczyt przed buforem ładunku, co może doprowadzić do awarii klienta.
Ocena ryzyka
Atak może spowodować awarię klienta i potencjalnie ujawnić sąsiednią pamięć, co może zakłócić działanie aplikacji.
Rekomendacja
Nie ma dostępnej wersji z poprawką; monitoruj repozytorium i zastosuj poprawkę, gdy będzie dostępna.
Inne podatności w RIOT
Zobacz wszystkie- CVE-2026-49868Krytyczne
RIOT to open-source'owy system operacyjny dla mikrokontrolerów przeznaczony dla urządzeń IoT i systemów wbudowanych. W wersjach przed 2026.07 funkcja _parse_reply() w sys/net/application_layer/dhcpv6/client.c pomija walidację minimalnej długości przed przekazaniem ciał opcji IA_PD i IA_NA do parserów podopcji. Złośliwy lub przejęty serwer DHCPv6 może wysłać REPLY z długością opcji mniejszą niż wymagana struktura, gdy włączony jest MODULE_DHCPV6_CLIENT_IA_PD, powodując odczyt poza ciałem opcji, niedomiar size_t i nieograniczone odczyty poza granicami sterty.
- CVE-2026-102693Krytyczne
RIOT to open-source'owy system operacyjny dla mikrokontrolerów przeznaczony dla urządzeń IoT i systemów wbudowanych. W wersjach przed 2026.04 funkcja _atwinc15x0_sta_set_current_ssid w sterowniku ATWINC15x0 używa strcpy do kopiowania SSID bez sprawdzania rozmiaru miejsca docelowego. Gdy włączony jest MODULE_ATWINC15X0_DYNAMIC_CONNECT, atakujący w pobliżu może rozgłaszać zniekształcony lub zbyt długi SSID przetwarzany podczas skanowania Wi-Fi, powodując uszkodzenie pamięci i potencjalnie poważny błąd, odmowę usługi lub wykonanie kodu.
- CVE-2026-102692Krytyczne
RIOT to open-source'owy system operacyjny dla mikrokontrolerów przeznaczony dla urządzeń IoT i systemów wbudowanych. W wersjach przed 2026.07 nanocoap akceptuje zbyt duże wartości opcji CoAP Block2 bez wymuszania maksymalnego 20-bitowego numeru bloku, co pozwala na przepełnienie mnożenia przesunięcia bloku na celach 32-bitowych. Zbyt duża wartość przechodzi z coap_get_blockopt() do coap_block_slicer_init(), a zdalny klient CoAP może wysłać zniekształconą opcję Block2, powodując nieprawidłowy zakres wycinka i dostęp poza granicami pamięci, odmowę usługi lub uszkodzenie pamięci.
- CVE-2017-8289Krytyczne
W funkcji ipv6_addr_from_str w RIOT przed 25 kwietnia 2017 roku występuje przepełnienie bufora oparte na stosie, które może być wykorzystane przez lokalnych, a potencjalnie także zdalnych atakujących. Atakujący mogą spowodować awarię systemu lub inne nieokreślone skutki poprzez wprowadzenie nieprawidłowego adresu IPv6.
- CVE-2026-107838Wysokie
RIOT od wersji 2023.07 do 2026.07 ignoruje błąd zwracany przez _resp_init() w nanocoap_fileserver, gdy coap_build_reply() nie może zmieścić nagłówka odpowiedzi w buforze. Zdalny klient może wysłać żądanie CoAP z dużym rozszerzonym tokenem, powodując awarię inicjalizacji odpowiedzi i prowadząc do asercji, która kończy działanie usługi lub zadania.
- CVE-2026-107837Wysokie
RIOT w wersji 2026.07 i wcześniejszych, funkcja _receive() w gnrc_sixlowpan.c może kierować zbyt mały pakiet do obsługi fragmentów SFF po minimalnym sprawdzeniu ładunku. Zdalny atakujący może wysłać złośliwy fragment 6LoWPAN, powodując odczyt poza buforem pakietu, co może ujawnić pamięć i spowodować awarię stosu sieciowego.
Oryginalny opis (angielski, źródło NVD)
RIOT is an open-source microcontroller operating system designed for Internet of Things devices and other embedded systems. In 2026.07 and earlier, the nanoCoAP client function nanocoap_sock_get_slice() in sys/net/application_layer/nanocoap/sock.c accepts a Block2 response when _block_cb() sees the expected block number without also verifying that the server-controlled szx and derived offset match the requested block geometry. A malicious CoAP server can return the expected block number with a larger block size, causing the derived offset to exceed the client slice offset and making ctx->offset - offset underflow in _2buf_slice(). The resulting buffer-relative calculation can read before the payload buffer and crash the client, causing denial of service and potentially exposing adjacent memory. No fixed release is available as of this review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS