Microchip ASF 重大資安漏洞，物聯網設備恐遭遠端攻擊

Microchip Advanced Software Framework（ASF）被發現存在一個嚴重的資安漏洞。若被成功利用，此漏洞可能導致遠端執行程式碼的風險。

該漏洞編號為 CVE-2024-7490，CVSS 評分高達 9.5（滿分為 10.0），為 ASF 的 tinydhcp 伺服器實作中的堆疊溢位問題，主要源於輸入驗證不足。

美國電腦緊急應變小組協調中心（CERT/CC）在其公告中指出，ASF 程式碼庫中所有公開可用的範例都存在一個漏洞。攻擊者可透過特製的 DHCP 請求觸發堆疊溢位，進而可能導致遠端執行程式碼。

由於這個軟體已經不再獲得官方支援，而且被廣泛應用在各種物聯網裝置的程式碼中，CERT/CC 特別提醒大家，這個資安漏洞「很可能已經存在於許多現有的產品中」。此問題影響 ASF 3.52.0.2574 及所有較早版本的軟體，多個 tinydhcp 軟體的分支版本也可能受到此漏洞影響。

除非將 tinydhcp 服務替換為其他未受影響的服務，目前尚無修補程式或緩解措施可解決 CVE-2024-7490。

與此同時，更有研究機構發現了一個影響 MediaTek Wi-Fi 晶片組的嚴重零點擊漏洞（CVE-2024-20017，CVSS 評分 9.8）。該漏洞可能導致遠端執行程式碼，且不需要任何使用者互動，原因是存在越界寫入問題。

受影響的版本包括 MediaTek SDK 7.4.0.1 及更早版本，以及 OpenWrt 19.07 和 21.02。這意味著包括路由器和智慧型手機等大量設備可能受到影響。

此漏洞是一個緩衝區溢位問題，源於系統直接使用攻擊者控制的封包數據中的長度值，而未進行邊界檢查就用於記憶體複製。這種未經檢查的操作會導致緩衝區溢位，進而造成越界寫入。

MediaTek 於 2024 年 3 月發布了此漏洞的修補程式。然而，隨著概念驗證（PoC）攻擊程式碼於 2024 年 8 月 30 日公開，漏洞被利用的可能性大幅增加。

本文轉載自 ​TheHackerNews。