CVE-2024-53845
Açıklama
ESPTouch, nesnelerin interneti cihazları için bir bağlantı protokolüdür. ESPTouchV2 protokolünde, özel bir AES anahtarı kullanma seçeneği bulunmasına rağmen; 5.3.2, 5.2.4, 5.1.6 ve 5.0.8 versiyonlarından öncekilerde IV (Başlatma Vektörü) ayarlama seçeneği yoktur. IV sıfır olarak ayarlanmıştır ve ürünün ömrü boyunca sabit kalır. AES/CBC modunda, IV düzgün şekilde başlatılmazsa şifrelenmiş çıktı deterministik hale gelir ve bu durum potansiyel veri sızıntısına yol açar. Bahsedilen sorunları gidermek için uygulama, 5.3.2, 5.2.4, 5.1.6 ve 5.0.8 versiyonlarından itibaren AES anahtarını etkinleştirirken rastgele bir IV oluşturur. Bu IV daha sonra provizyon verileriyle birlikte provizyon cihazına iletilir. Provizyon cihazı ayrıca AES IV için bir ayrıştırıcıyla donatılmıştır. Güncelleme, ESP-IDF'den ESPTouch v2 bileşenini kullanan tüm uygulamalar ve kullanıcılar için geçerlidir. ESP Wi-Fi yığınında uygulandığı için, temel aygıt yazılımını güncellemeden uygulama katmanını düzeltmek için kullanıcı tarafından uygulanabilecek bir geçici çözüm yoktur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| espressif esp-idf | >= 5.3.0, < 5.3.2, >= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.6, < 5.0.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.