Uma falha crítica de segurança foi divulgada no Microchip Superior Software program Framework (ASF) que, se explorada com sucesso, pode levar à execução remota de código.
A vulnerabilidade, rastreada como CVE-2024-7490, carrega uma pontuação CVSS de 9,5 de um máximo de 10,0. Ela foi descrita como uma vulnerabilidade de estouro baseada em pilha na implementação do servidor tinydhcp da ASF, decorrente de uma falta de validação de entrada adequada.
“Existe uma vulnerabilidade em todos os exemplos publicamente disponíveis da base de código do ASF que permite que uma solicitação DHCP especialmente criada trigger um estouro de pilha que pode levar à execução remota de código”, disse o CERT Coordination Middle (CERT/CC) em um comunicado.
Dado que o software program não é mais suportado e está enraizado em código centrado na IoT, o CERT/CC alertou que a vulnerabilidade “provavelmente surgirá em muitos lugares na natureza”.
O problema afeta o ASF 3.52.0.2574 e todas as versões anteriores do software program, com a agência também observando que diversas bifurcações do software program tinydhcp provavelmente também são suscetíveis à falha.
Atualmente, não há correções ou mitigações para lidar com o CVE-2024-7490, exceto pela substituição do serviço tinydhcp por outro que não tenha o mesmo problema.
O desenvolvimento ocorre no momento em que o SonicWall Seize Labs detalhou uma vulnerabilidade grave de clique zero que afeta os chipsets MediaTek Wi-Fi (CVE-2024-20017, CVSS 9.8), o que pode abrir caminho para a execução remota de código sem exigir nenhuma interação do usuário devido a um problema de gravação fora dos limites.
“As versões afetadas incluem o MediaTek SDK versões 7.4.0.1 e anteriores, bem como OpenWrt 19.07 e 21.02”, disse a empresa. “Isso se traduz em uma grande variedade de dispositivos vulneráveis, incluindo roteadores e smartphones.”
“A vulnerabilidade é um estouro de buffer como resultado de um valor de comprimento obtido diretamente de dados de pacote controlados pelo invasor sem verificação de limites e colocado em uma cópia de memória. Esse estouro de buffer cria uma gravação fora dos limites.”
Um patch para a vulnerabilidade foi lançado pela MediaTek em março de 2024, embora a probabilidade de exploração tenha aumentado com a disponibilidade pública de uma exploração de prova de conceito (PoC) em 30 de agosto de 2024.
