CVE-2024-25110criticalCWE-94

CVE-2024-25110: fallo crítico en azure-uamqp-c

Azure IoT Platform Device SDK Remote Code Execution Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear azure-uamqp-c+ Monitorear azure-uamqp-python

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.8epss 7.3%
En resumen

Una falla en la asignación de memoria en el SDK de Dispositivos de Azure IoT causa una vulnerabilidad de uso después de liberación, permitiendo que atacantes ejecuten código arbitrario en dispositivos afectados durante la comunicación de conexión.

Detalle técnico

La debilidad CWE-94 ocurre cuando la función open_get_offered_capabilities falla en la asignación de memoria durante la negociación de conexión AMQP 1.0, resultando en acceso a memoria ya liberada. Atacantes remotos pueden disparar esta condición sin autenticación para ejecutar código arbitrario en el dispositivo cliente. La mitigación requiere actualizar al commit 30865c9c o posterior.

Resumen generado y traducido por IA a partir de la descripción oficial.
The UAMQP is a general purpose C library for AMQP 1.0. During a call to open_get_offered_capabilities, a memory allocation may fail causing a use-after-free issue and if a client called it during connection communication it may cause a remote code execution. Users are advised to update the submodule with commit `30865c9c`. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Azure · azure-uamqp-c
CVEs relacionadas — azure-uamqp-c

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-21646CRITICALAzure IoT Platform Device SDK Remote Code Execution VulnerabilityEPSS 5.1%CVE-2024-27099CRITICALAzure IoT Platform Device SDK Double Free VulnerabilityEPSS 1.4%