Shahriyar Jalayeri

O cliente MQTT no lwIP TCP/IP Stack contém uma falha de gravação fora dos limites (out-of-bounds write). Este problema permite que um invasor não autenticado execute código remotamente no dispositivo, possivelmente permitindo a movimentação lateral em redes industriais onde protocolos industriais não criptografados são utilizados.

Ocorre uma gravação fora dos limites na função ` net defragment()` em net/net.c quando a configuração `CONFIG IP DEFRAG` está habilitada. Atacantes remotos podem explorar isso enviando um fragmento de IP manipulado com um deslocamento (offset) diferente de zero e a flag More-Fragments ativada durante o netboot, resultando na corrupção de memória adjacente e no travamento do bootloader.

Existe uma gravação fora dos limites (out-of-bounds write) no decodificador de bitmap RLE8 dentro do subsistema de vídeo. A função `video display rle8 bitmap()` em `drivers/video/video bmp.c` decodifica fluxos codificados por comprimento de execução (RLE) diretamente no framebuffer ativo sem validar os limites do fluxo em relação à fronteira do quadro ou ao tamanho do buffer alocado. Como as telas de splash de inicialização são frequentemente renderizadas a partir de armazenamento não assinado e gravável pelo usuário antes que as rotinas de verificação de assinatura, como Android Verified Boot (AVB) ou verificação de assinatura de imagem FIT, sejam executadas, um invasor pode fornecer uma imagem BMP compactada em RLE8 manipulada para corromper a memória adjacente ao framebuffer. Isso pode levar à corrupção de estruturas de dados do bootloader, ponteiros de função ou sinalizadores de verificação, permitindo a ignoração do Secure Boot antes da autenticação e o travamento do bootloader.

Ocorre um estouro de inteiro na função `sqfs read directory table()` durante a alocação do buffer da tabela de diretórios. Um invasor pode fornecer uma imagem SquashFS especialmente manipulada contendo um valor `metablks count` controlado no superblock. Isso leva a uma subalocação de buffer de heap e escritas subsequentes fora dos limites, o que corrompe a memória do heap e causa a falha do bootloader.

Ocorre uma gravação fora dos limites na função `read slotted partition()` porque o software falha ao validar o tamanho da imagem em relação aos limites da partição. Atacantes com acesso físico podem utilizar mídias de inicialização manipuladas com cabeçalhos superdimensionados para gravar além do buffer de carga na memória do bootloader em dispositivos sem a proteção Android Verified Boot.

Um estouro de buffer ocorre na função `nfs readlink reply()` em net/nfs-common.c durante o processamento de respostas de servidores NFS. Um servidor NFS malicioso pode explorar isso enviando respostas READLINK manipuladas com valores de comprimento de link simbólico negativos ou excessivos, resultando em corrupção de memória e falha do bootloader.

Um problema de use-after-free existe na implementação lwIP wget. Na função `httpc recv cb()`, quando o armazenamento de dados HTTP falha, o callback libera o PCB (Protocol Control Block) da conexão, mas retorna `ERR BUF` em vez de `ERR ABRT`. Isso faz com que o caminho de entrada TCP acesse a memória que já foi liberada, resultando no travamento do bootloader.

Um acesso à memória fora dos limites existe na função `dhcp6 parse options()`. O problema ocorre porque o sistema falha ao validar os comprimentos das opções `SERVERID` e `CLIENTID` em pacotes DHCPv6. Um invasor na rede local pode explorar isso enviando pacotes DHCPv6 ADVERTISE ou REPLY especialmente manipulados durante o processo de netboot para corromper a memória e causar a falha do bootloader.

Um estouro de buffer existe na função `nfs read reply()` dentro do arquivo net/nfs-common.c. Um servidor NFS malicioso pode explorar o manuseio de inteiros com sinal para ignorar a validação de comprimento ao fornecer comprimentos de resposta NFS READ manipulados. Isso permite que o invasor escreva dados muito além do buffer de destino, o que pode levar à corrupção de memória ou ao travamento do bootloader.

The issue allows remote attackers to execute arbitrary code via a long `ImageURL` property, and possibly the `Mode`, `Page`, or `Zoom` properties. This is due to a buffer overflow in the DjVu ActiveX Control.