arendst Tasmota
Tasmota: scrittura fuori limiti nell'heap via messaggi Device Groups UDP
Il problema, secondo i dati ufficiali
- Una falla in SendReceiveDeviceGroupMessage() di Tasmota permette di scrivere oltre il buffer fisso da 512 byte nell'heap, corrompendo la memoria. Succede quando messaggi Device Groups appositamente costruiti, inviati sulla porta UDP 4447, portano il contatore log_remaining a un valore negativo.
- Può sfruttarla un attaccante non autenticato, senza account, che si trovi nella rete locale. Può mandare in crash il dispositivo e potrebbe ottenere esecuzione di codice nativo su ESP8266 ed ESP32, piattaforme prive di ASLR e heap cookies.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Tasmota: fino alla 16.0.0 inclusa
Fonti ufficiali
- github.com — patch
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
Tasmota through 16.0.0, fixed in commit e97e1e4, contains a heap out-of-bounds write vulnerability in SendReceiveDeviceGroupMessage() that allows unauthenticated attackers on the local network to corrupt heap memory by sending crafted Device Groups messages over UDP port 4447 that cause the log_remaining counter to go negative and writes to exceed the fixed 512-byte buffer. Attackers can exploit this flaw to crash the device or potentially achieve native code execution on ESP8266 and ESP32 platforms that lack ASLR and heap cookies.
Non sai se ti riguarda?
Se usi arendst Tasmota e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 9 novembre 2026. Prima di intervenire verifica l'avviso del produttore.