CVE-2025-53540

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات arduino-esp32 الأقدم من 3.2.1

الوصف:

تؤثر المشكلة على العديد من أمثلة التحديث عبر الهواء (OTA) وعلى تنفيذ HTTPUpdateServer في نواة arduino-esp32، مما يسمح للمهاجم بتحميل وتشغيل برامج ثابتة تعسفية بسبب عدم وجود حماية ضد تزوير الطلبات بين المواقع (CSRF) لعمليات تحميل البرامج الثابتة عبر طلبات POST. ويؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).

التوصيات:

بالنسبة للإصدارات الأقدم من 3.2.1، قم بالتحديث إلى الإصدار 3.2.1 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تعطيل ميزة التحديث عبر الهواء (OTA) حتى يتم تطبيق التصحيح. قم بتقييد الوصول إلى نقاط نهاية التحديث لتقليل مخاطر الاستغلال. تجنب استخدام تنفيذ HTTPUpdateServer حتى يتم حل المشكلة.