CVE-2024-42484

Componente ESP-NOW (versões afetadas não especificadas)

O componente ESP-NOW fornece um protocolo de comunicação Wi-Fi sem conexão. Foi descoberta uma vulnerabilidade Out-of-Bound (OOB) na implementação da mensagem do tipo grupo do ESP-NOW, pois não há verificação do campo addrs num da mensagem do tipo grupo. Isso pode resultar em ataques relacionados à corrupção de memória. Normalmente, há dois campos nas informações do grupo que precisam ser verificados, ou seja, o campo addrs num e o campo addrs list. Como apenas o campo addrs list é verificado, um invasor pode enviar uma mensagem do tipo grupo com um campo addrs num inválido, o que fará com que a mensagem processada pelo firmware seja muito maior do que o buffer atual, causando assim um problema de corrupção de memória que ultrapassa o comprimento da carga útil.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.