CVE-2021-3330

Este es un fallo de corrupción de memoria en lo profundo de la pila de red del RTOS Zephyr: una lista de fragmentos falsificada corrompe una lista enlazada durante la ordenación, produciendo una escritura fuera de límites grande. El aviso lo enmarca como RCE/DOS, lo que significa que un conjunto manipulado de fragmentos enviado al dispositivo puede, como mínimo, hacerlo caer y potencialmente ser dirigido hacia la ejecución de código. El vector apunta a un atacante de red adyacente: esto proviene de algo en el mismo enlace, no de la internet abierta.

Zephyr se ejecuta en dispositivos embebidos y de IoT, lo que moldea la amenaza: son objetivos con recursos limitados, a menudo desplegados en flotas, frecuentemente sin las mitigaciones de exploits que tendría un sistema operativo de propósito general, y notoriamente lentos para recibir actualizaciones de firmware. Una escritura fuera de límites en el manejo de fragmentos es alcanzable por cualquiera que pueda poner paquetes manipulados en el segmento local, así que en entornos donde tales dispositivos comparten red con hosts menos confiables, la DoS es muy plausible y el techo de ejecución de código es una preocupación genuina. No se rastrea masivamente por internet, pero es peligroso donde un atacante ya tiene adyacencia.

Nuestro desafío con esta clase es que el firmware embebido es lo más difícil de inventariar y parchear, así que nos apoyamos en la segmentación. La mitigación realista es aislar los dispositivos basados en Zephyr en segmentos de red confiables donde un atacante no pueda alcanzarlos con fragmentos falsificados, mientras se rastrea qué productos se construyen sobre las versiones afectadas 2.4.0 y posteriores para actualizaciones de firmware a medida que los proveedores las publiquen. Lo clasificamos según la adyacencia de red: alcanzable-desde-no-confiable es urgente, aislado o estrechamente segmentado es mucho menos así.