Vulnerabilidad en ESF-IDF de Espressif (CVE-2026-25508)

ESF-IDF es el Framework de Desarrollo de Internet de las Cosas (IoT) de Espressif. En las versiones 5.5.2, 5.4.3, 5.3.4, 5.2.6 y 5.1.6, se informó una vulnerabilidad de lectura fuera de límites en el manejo de BLE ATT Prepare Write del transporte de aprovisionamiento BLE (protocomm_ble). El problema puede ser activado por un cliente BLE remoto mientras el dispositivo está en modo de aprovisionamiento. El transporte acumuló fragmentos de escritura preparada en un búfer de tamaño fijo pero rastreó incorrectamente la longitud acumulativa. Al enviar solicitudes repetidas de escritura preparada con desplazamientos superpuestos, un cliente remoto podría hacer que la longitud informada excediera el tamaño del búfer asignado. Esta longitud inflada fue luego pasada a los manejadores de aprovisionamiento durante el procesamiento de ejecución de escritura, resultando en una lectura fuera de límites y potencial corrupción de memoria. Este problema ha sido parcheado en las versiones 5.5.3, 5.4.4, 5.3.5, 5.2.7 y 5.1.7.