Координационният център CERT (CERT/CC) към университета Carnegie Mellon публикува съобщение за критичен недостатък, засягащ Advanced Software Framework (ASF) на Microchip.
ASF на Microchip е безплатна библиотека с отворен код за микроконтролерите на компанията. Базираният в САЩ доставчик на полупроводници твърди, че продуктът е предназначен за фазите на оценка, създаване на прототипи, проектиране и производство.
Дупката в сигурността, проследена като CVE-2024-7490, е открита от Андрю Кумбс от Amazon Element55. Според CERT/CC проблемът е свързан с имплементацията на сървъра Tinydhcp в ASF и може да позволи изпълнение на отдалечен код чрез специално създадени DHCP заявки.
„Имплементацията на DHCP в ASF не успява да валидира входа, като по този начин създава условия за препълване на стека“, обясняват от CERT/CC.
„Тъй като тази уязвимост е в код, ориентиран към IoT, тя вероятно ще се появи на много места в дивата природа.“ „Тази уязвимост може да бъде тествана чрез изпращане на един пакет с DHCP заявка до мултикаст адрес“, добави CERT/CC.
Организацията отбеляза, че CVE-2024-7490 засяга ASF 3.52.0.2574 и всички предишни версии на софтуера. Възможно е да бъдат засегнати и вилиците на Tinydhcp, налични в GitHub.
Засегнатата версия на ASF вече не се поддържа от производителя, който призова клиентите да „мигрират към актуално софтуерно решение, което е в процес на активна поддръжка“.CERT/CC заяви, че „в момента не знае за практическо решение на този проблем, освен замяната на услугата Tinydhcp с друга, която няма такъв проблем“.
Неотдавна Microchip стана мишена на атака с рансъмуер, която предизвика смущения и според твърденията е довела до кражба на няколко гигабайта данни.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
