CVE-2021-3330

Este é um bug de corrupção de memória no fundo da pilha de rede do Zephyr RTOS: uma lista de fragmentos forjada corrompe uma lista encadeada durante a ordenação, produzindo uma escrita fora dos limites de grande porte. O advisory o enquadra como RCE/DOS, o que significa que um conjunto de fragmentos malicioso enviado ao dispositivo pode, no mínimo, travá-lo e, potencialmente, ser direcionado para execução de código. O vetor aponta para um atacante em rede adjacente — isso vem de algo no mesmo enlace, não da internet aberta.

O Zephyr roda em dispositivos embarcados e de IoT, o que molda a ameaça: são alvos restritos, frequentemente implantados em frotas, muitas vezes sem as mitigações de exploit que um sistema operacional de uso geral teria, e notoriamente lentos para receber atualizações de firmware. Uma escrita fora dos limites no tratamento de fragmentos é alcançável por qualquer um que consiga colocar pacotes maliciosos no segmento local, então, em ambientes onde tais dispositivos compartilham a rede com hosts menos confiáveis, o DoS é bastante plausível e o teto de execução de código é uma preocupação genuína. Não é varrido em massa pela internet, mas é perigoso onde um atacante já tem adjacência.

Nosso desafio com essa classe é que firmware embarcado é a coisa mais difícil de inventariar e corrigir, então nos apoiamos na segmentação. A mitigação realista é isolar dispositivos baseados em Zephyr em segmentos de rede confiáveis, onde um atacante não consiga alcançá-los com fragmentos forjados, ao mesmo tempo em que se rastreia quais produtos são construídos sobre as versões 2.4.0 e posteriores afetadas para atualizações de firmware conforme os fornecedores as disponibilizam. Nós a classificamos pela adjacência de rede: alcançável a partir de redes não confiáveis é urgente; isolada por air-gap ou fortemente segmentada é bem menos.