CVE-2024-25110criticalCWE-94

CVE-2024-25110: falha crítica em azure-uamqp-c

Azure IoT Platform Device SDK Remote Code Execution Vulnerability

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar azure-uamqp-c+ Monitorar azure-uamqp-python

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.8epss 7.3%
Em resumo

Uma falha na alocação de memória no SDK de Dispositivos do Azure IoT causa uma vulnerabilidade de uso após liberação, permitindo que atacantes executem código arbitrário em dispositivos afetados durante a comunicação de conexão.

Detalhe técnico

A falha CWE-94 ocorre quando a função open_get_offered_capabilities falha na alocação de memória durante a negociação da conexão AMQP 1.0, resultando em acesso a memória já liberada. Atacantes remotos podem disparar essa condição sem autenticação para executar código arbitrário no dispositivo cliente. A correção requer atualização para o commit 30865c9c ou posterior.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The UAMQP is a general purpose C library for AMQP 1.0. During a call to open_get_offered_capabilities, a memory allocation may fail causing a use-after-free issue and if a client called it during connection communication it may cause a remote code execution. Users are advised to update the submodule with commit `30865c9c`. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Azure · azure-uamqp-c
CVEs relacionadas — azure-uamqp-c

No mesmo produto, das mais perigosas para as menos.

CVE-2024-21646CRITICALAzure IoT Platform Device SDK Remote Code Execution VulnerabilityEPSS 5.1%CVE-2024-27099CRITICALAzure IoT Platform Device SDK Double Free VulnerabilityEPSS 1.4%