CVE-2026-28525
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
SWUpdate zawiera podatność na niedomiar liczby całkowitej w parserze przesyłania wieloczęściowego w pliku mongoose_multipart.c, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi poprzez wysłanie spreparowanego żądania HTTP POST do /upload z nieprawidłowym ogranicznikiem wieloczęściowym i kontrolowanym taktowaniem strumienia TCP. Atakujący mogą wywołać niedomiar liczby całkowitej w funkcji mg_http_multipart_continue_wait_for_chunk(), gdy długość bufora mieści się w określonym zakresie, powodując odczyt sterty poza przydzielonym buforem odbiorczym do lokalnego gniazda IPC.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego spowodowania awarii systemu przez nieuwierzytelnionego atakującego, co może prowadzić do przerwania działania usług aktualizacji oprogramowania i potencjalnie całego urządzenia.
Rekomendacja
Należy natychmiast zaktualizować SWUpdate do wersji zawierającej poprawkę usuwającą podatność na niedomiar liczby całkowitej w parserze multipart. Do czasu aktualizacji zaleca się ograniczenie dostępu do punktu końcowego /upload tylko dla zaufanych sieci.
Inne podatności w SWUpdate
Zobacz wszystkie- CVE-2026-109399Wysokie
SWUpdate do wersji 2026.05.1 zawiera podatność na nieprawidłową walidację certyfikatów w pliku crypto/swupdate_cms_verify_openssl.c, która ufa niezaufanym certyfikatom X.509 osadzonym w CMS SignedData do budowania łańcucha zaufania. Atakujący posiadający klucz podpisujący od pośredniego certyfikatu w tym samym łańcuchu głównym może osadzić ten certyfikat w podpisie, aby zainstalować złośliwe aktualizacje.
- CVE-2025-41259Wysokie
SWUpdate przed wersją 2026.05 jest dotknięty warunkami wyścigu typu time-of-check time-of-use (TOCTOU), które umożliwiają lokalnym nieuprzywilejowanym atakującym eskalację uprawnień do roota lub instalację niezaufanych treści przy użyciu podpisanej aktualizacji.
Oryginalny opis (angielski, źródło NVD)
SWUpdate contains an integer underflow vulnerability in the multipart upload parser in mongoose_multipart.c that allows unauthenticated attackers to cause a denial of service by sending a crafted HTTP POST request to /upload with a malformed multipart boundary and controlled TCP stream timing. Attackers can trigger an integer underflow in the mg_http_multipart_continue_wait_for_chunk() function when the buffer length falls within a specific range, causing an out-of-bounds heap read past the allocated receive buffer to a local IPC socket.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS