Vulnerabilidad en Contiki-NG (CVE-2023-50926)

Contiki-NG es un sistema operativo multiplataforma de código abierto para dispositivos IoT de próxima generación. Una lectura fuera de los límites puede deberse a un mensaje DIO entrante cuando se utiliza la implementación RPL-Lite en el sistema operativo Contiki-NG. Más específicamente, la información de prefijo del mensaje DIO contiene un campo que especifica la longitud de un prefijo de dirección IPv6. El valor de este campo no está validado, lo que significa que un atacante puede establecer un valor que sea mayor que la longitud máxima del prefijo. Posteriormente, se puede llamar a una función memcmp que compara diferentes prefijos con un argumento de longitud que supera el límite de la matriz asignada para el prefijo, lo que provoca una lectura fuera de los límites. El problema ha sido solucionado en la rama "desarrollo" de Contiki-NG y se espera que se incluya en la próxima versión. Se recomienda a los usuarios que actualicen tan pronto como puedan o que apliquen manualmente los cambios en la solicitud de extracción n.° 2721 de Contiki-NG.