Vulnerabilidad en Contiki-NG (CVE-2024-41126)

Contiki-NG es un sistema operativo multiplataforma de código abierto para dispositivos IoT. Se puede activar una lectura fuera de los límites de 1 byte al enviar un paquete a un dispositivo que ejecuta el sistema operativo Contiki-NG con SNMP habilitado. El módulo SNMP está deshabilitado en la configuración predeterminada de Contiki-NG. La vulnerabilidad existe en el módulo os/net/app-layer/snmp/snmp-message.c, donde la función snmp_message_decode no puede verificar el límite del búfer de mensajes al leer un byte de él inmediatamente después de decodificar un identificador de objeto (OID). El problema se ha corregido en la solicitud de incorporación de cambios 2937 de Contiki-NG. Se incluirá en la próxima versión de Contiki-NG. Se recomienda a los usuarios que apliquen el parche manualmente o que esperen a la próxima versión. Un workaround es deshabilitar el módulo SNMP en la configuración de compilación de Contiki-NG.