CVE-2020-10059

zephyr versão 2.1.0 e versões posteriores

O problema diz respeito ao módulo UpdateHub, que desativa a verificação de pares DTLS. Isso permite um ataque man-in-the-middle. No entanto, as imagens de firmware exigem assinaturas válidas, o que atenua o problema até certo ponto. Observe-se que não há benefício em usar o DTLS sem verificação de pares.

Para o zephyr versão 2.1.0 e versões posteriores, considere desativar o módulo UpdateHub até que esteja disponível um patch que habilite a verificação de pares DTLS. Como medida de mitigação, certifique-se de que todas as imagens de firmware estejam devidamente assinadas para minimizar o risco de exploração.