CVE-2025-69209

ArduinoCore-avr, Arduino AVR Boards platformasının mənbə kodu və konfiqurasiya fayllarını ehtiva edir. 1.8.7 versiyasından əvvəlki versiyalardakı bir boşluq, hücumçuya yüksək dəqiqliklə sürüşən nöqtəli (floating-point) dəyərləri sətirlərə çevirərkən stek əsaslı bufer daşmasını tetikləməyə imkan verir. Təsirə məruz qalan String konstruktorlarına və ya birləşdirmə metodlarına çox böyük `decimalPlaces` dəyərləri ötürməklə, `dtostrf` funksiyası sabit ölçülü stek buferlərindən kənara yazır ki, bu da yaddaşın korlanmasına və xidmətdən imtinaya səbəb olur. Müəyyən şərtlər daxilində bu, AVR əsaslı Arduino lövhələrində ixtiyari kodun icrasına imkan verə bilər. ### Yamalar (Patches) - Düzəliş aşağıdakı linkdə mövcud olan `1.8.7` buraxılışından etibarən daxil edilmişdir [ArduinoCore-avr v1.8.7](https://github.com/arduino/ArduinoCore-avr) - Düzəliş commit-i aşağıdakı linkdə mövcuddur [1a6a417f89c8901dad646efce74ae9d3ddebfd59](https://github.com/arduino/ArduinoCore-avr/pull/613/commits/1a6a417f89c8901dad646efce74ae9d3ddebfd59) ### İstinadlar (References) - [ASEC-26-001 ArduinoCore-avr vXXXX Resolves Buffer Overflow Vulnerability](https://support.arduino.cc/hc/en-us/articles/XXXXX) ### Kreditlər (Credits) - SecMate (https://secmate.dev/) şirkətindən Maxime Rossi Bellom və Ramtine Tofighi Shirazi