نقصی بحرانی در کلاینت MQTT درون بسیاری از فریمورها

سایسا روز ۲۲ سپتامبر هشدار ICSA-26-265-01 را برای یک CVE با شعاع آسیب گسترده منتشر کرد. شناسه CVE-2026-87121 نوشتن خارج از محدوده (CWE-787) در برنامه کلاینت MQTT است که همراه پشته TCP/IP پروژه lwIP عرضه می‌شود و نگارش‌های 2.0.1 تا 2.2.1 را متاثر می‌کند. امتیازش ۹.۸ در CVSS نگارش ۳.۱ و ۹.۳ در نگارش ۴.۰ است، و بیان اثر سایسا صریح است: محصول متاثر در برابر نوشتن خارج از محدوده آسیب‌پذیر است، که می‌تواند به مهاجم اجازه دهد اجرای کامل کد روی دستگاه را به دست بگیرد.

نه از کار افتادن. اجرای کد.

پشته lwIP یک پشته TCP/IP متن‌باز است که در شمار عظیمی از دستگاه‌های رده میکروکنترلر به کار می‌رود — همان رده قطعاتی که پشته شبکه کامل لینوکس در آنها جا نمی‌شود و فروشنده چیزی کوچک و مجانی و آزموده می‌خواهد. سایسا هشت بخش زیرساخت حیاتی متاثر را فهرست می‌کند: شیمیایی، ارتباطات، تولید حیاتی، انرژی، خدمات مالی، بهداشت و سلامت عمومی، سامانه‌های حمل‌ونقل، و آب و فاضلاب. استقرار در سراسر جهان توصیف شده است. شهریار جلایری از ByteRay آن را گزارش کرد.

راه اصلاح جایی است که این از هشدار معمول فرق می‌کند. وصله‌ای برای نصب وجود ندارد. اصلاحیه یک کامیت کد است — f89407ea711879c04d91c92b35d67be78bbaf0f1 در مخزن Savannah — یعنی تنها وقتی به دستگاه می‌رسد که سازنده آن را بکشد، فریمور را از نو بسازد، دوباره آزمون بگیرد و به‌روزرسانی بفرستد. برای خط محصولی که خوب گردانده می‌شود این چند هفته است. برای دستگاهی که فروشنده‌اش دیگر مهندس سازنده فریمور را در استخدام ندارد، هرگز.

جمعیت در خطر، همان جمعیتی هم هست که احتمال در معرض بودنش از همه بیشتر است. دستگاهی که کلاینت MQTT پشته lwIP را به کار می‌برد، تقریبا به تعریف، دستگاهی است که روی اینترنت با یک بروکر حرف می‌زند. این همان استقراری است که این کد برای پشتیبانی‌اش وجود دارد.

برای تیم‌های محصول، اقدام باریک و فوری است: بررسی کنید که بیلد شما نگارشی از lwIP میان 2.0.1 و 2.2.1 را تثبیت کرده یا نه، و اینکه کلاینت MQTT اصلا در تصویر کامپایل شده یا نه. پروژه‌های زیادی lwIP را دارند و هرگز آن ماژول را فعال نمی‌کنند، و دانستن اینکه در کدام حالت‌اید یک نگاه به هدر پیکربندی‌تان می‌برد.