Xuedugu

**Nome do Software Vulnerável e Versões Afetadas** OCPP 1.6 client (versões afetadas não especificadas) **Descrição** Um estouro de buffer de pilha (stack buffer overflow) existe na função `parse getconfig msg()` dentro do arquivo `subsys/net/lib/ocpp/ocpp j.c`. O problema ocorre quando o manipulador processa uma solicitação GetConfiguration de um sistema central e utiliza um `strcpy()` sem limite para copiar uma string JSON `key` controlada por um invasor em um buffer de pilha fixo de 50 bytes `skey[CISTR50]` localizado em `subsys/net/lib/ocpp/ocpp.c`. Como o comprimento do valor da `key` é limitado apenas pelo tamanho do buffer de recebimento (`CONFIG OCPP RECV BUFFER SIZE`), um invasor que controle o endpoint do sistema central ou realize um ataque de man-in-the-middle em uma conexão não criptografada pode enviar uma solicitação com um campo `key` superior a 50 bytes. Isso pode causar um esmagamento de pilha (stack smash) na thread de leitura `ocpp wsreader()`, resultando em negação de serviço ou potencialmente execução remota de código. **Recomendações** Substitua a função `strcpy()` por um `strncpy(key, payload.key[0], CISTR50 - 1)` limitado e garanta a terminação NUL explícita.

**Nome do Software Vulnerável e Versões Afetadas** Zephyr versão 4.3.0 Zephyr versão 4.4.0 **Descrição** O resolvedor DNS em `subsys/net/lib/dns` não valida adequadamente o `rdlength` de registros de recurso em respostas DNS dentro da função `dns unpack answer()`. Isso permite a aceitação de um `rdlength` declarado por um invasor que pode se estender além do final do datagrama recebido. Subsequentemente, os consumidores TXT e SRV em `dns validate record()` (localizados em `resolve.c`) utilizam `memcpy` para ler até `rdlength` bytes do buffer de recebimento sem realizar uma verificação de limites em relação ao tamanho real do pacote. Um servidor DNS malicioso, um invasor no caminho (on-path) ou um nó da LAN (se mDNS/LLMNR estiver habilitado) pode criar respostas TXT ou SRV truncadas para desencadear uma leitura fora dos limites da memória do pool de recebimento adjacente. Isso resulta em um vazamento de informações, onde bytes obsoletos de pacotes DNS anteriores ou memória não inicializada são retornados à aplicação. Em certas configurações, isso também pode causar uma falha no sistema, levando a uma negação de serviço. **Recomendações** Atualize o Zephyr versão 4.3.0 para uma versão onde a função `dns unpack answer()` rejeite registros cujo rdata declarado se estenda além de `dns msg->msg size`. Atualize o Zephyr versão 4.4.0 para uma versão onde a função `dns unpack answer()` rejeite registros cujo rdata declarado se estenda além de `dns msg->msg size`.

**Nome do Software Vulnerável e Versões Afetadas** Zephyr versões 3.0.0 through 3.x **Description** Uma leitura fora dos limites ocorre na Camada de Adaptação ISO do controlador Bluetooth no arquivo `subsys/bluetooth/controller/ll sw/isoal.c`. O problema acontece porque a função `isoal check seg header()` não valida adequadamente o campo de comprimento de um segmento inicial de PDU ISO estruturado. De acordo com a especificação Bluetooth, um segmento inicial deve ter um comprimento de cabeçalho de segmento de pelo menos 3 bytes para acomodar o `time offset`. Quando um comprimento entre 0 e 2 é fornecido, a função `isoal rx framed consume()` realiza uma subtração que resulta em um underflow de inteiro, criando um valor de comprimento excessivo. Esse valor é então passado para `isoal rx append to sdu()`, que copia até 255 bytes da memória do controlador além da PDU recebida para um pacote de dados HCI ISO. Um invasor remoto pode disparar isso via caminhos de dados HCI CIS ou BIS-sync ou pelo caminho de dados do fornecedor, levando à divulgação de informações para o host ou a uma negação de serviço. **Recommendations** Atualize o Zephyr para uma versão onde a função `isoal check seg header()` rejeite segmentos iniciais com comprimento inferior a 3 e uma proteção seja implementada antes da subtração em `isoal rx framed consume()`.

**Nome do Software Vulnerável e Versões Afetadas** Zephyr (versões afetadas não especificadas) **Descrição** O analisador de entradas de diretório ext2 não valida totalmente a estrutura da entrada de diretório no disco antes de copiar o nome da entrada e avançar o estado de travessia. Especificamente, na função `ext2 fetch direntry()`, o sistema verifica se `de name len` é menor ou igual a `EXT2 MAX FILE NAME`, mas não valida a relação estrutural entre `de rec len`, `de name len` e o limite do bloco de diretório. Isso inclui a falha em verificar se `de rec len` é diferente de zero, se possui pelo menos o tamanho do cabeçalho da entrada e se o registro cabe no bloco. Funções como `find dir entry()` e `ext2 get direntry()` utilizam então o `de rec len` não validado para avançar a travessia. Uma imagem ext2 manipulada pode desencadear uma leitura fora dos limites (out-of-bounds read) do buffer do bloco de diretório por meio de uma cópia de nome excessiva ou causar um loop infinito se `de rec len` for zero. Este problema ocorre durante caminhos de travessia de diretório, incluindo busca de caminho (pathname lookup), stat, open, unlink, rename e readdir, podendo levar à negação de serviço e leituras fora dos limites ao montar mídias não confiáveis. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Zephyr versões 1.7 até 4.4.0 **Descrição** O analisador da função Hands-Free do Perfil de Mãos Livres (HFP) do Bluetooth Classic em `subsys/bluetooth/host/classic/hfp hf.c` contém uma gravação fora dos limites (out-of-bounds write). Durante a configuração da Conexão de Nível de Serviço, a unidade Hands-Free (HF) envia `AT+CIND=?` e analisa a resposta do Attendant Gateway (AG) na função `cind handle()`, que atribui um índice de contador por entrada e chama `cind handle values()` para cada elemento da lista. A função `cind handle values()` grava em `hf-ind table[index]` sem verificar se o `index` está dentro da matriz `int8 t ind table[]` de 20 elementos da `struct bt hfp hf`. Como o analisador não limita o número de entradas da lista `+CIND:`, um Attendant Gateway remoto pode enviar uma resposta com mais de 20 entradas para tornar o `index` arbitrariamente grande. Isso permite a gravação de valores além da matriz em campos adjacentes da estrutura, como máscaras de recursos, estado de SDP/versão, a matriz `calls[]` e registros de trabalho/atômicos, potencialmente extrapolando o slot do pool de conexão estática. Isso resulta em corrupção de memória e negação de serviço do host Bluetooth, desencadeado por uma única resposta AT malformada sem interação do usuário. **Recomendações** Atualize o Zephyr para uma versão posterior à 4.4.0. Como medida paliativa temporária, desative `CONFIG BT HFP HF` para mitigar o risco de exploração.