CVE-2021-42142

Nieprawidłowa obsługa dużego numeru epoki w Contiki-NG tinyDTLS — DoS i fałszywe odrzucanie pakietów

CVSS 9.8v3.1pub. 2024-01-23upd. 2025-06-11

Błąd w implementacji serwera DTLS w bibliotece tinyDTLS (Contiki-NG) powoduje nieprawidłową obsługę przedwczesnego użycia dużego numeru epoki. Podatność umożliwia zdalnym atakującym wywołanie odmowy usługi (DoS) oraz fałszywego odrzucania pakietów, co może zakłócić komunikację urządzeń IoT.

▸ Pokaż oryginał (EN)

An issue was discovered in Contiki-NG tinyDTLS through master branch 53a0d97. DTLS servers mishandle the early use of a large epoch number. This vulnerability allows remote attackers to cause a denial of service and false-positive packet drops.

🤖 Analiza AI

Jak działa

Serwery DTLS korzystające z podatnej wersji biblioteki tinyDTLS nieprawidłowo obsługują sytuację, gdy klient przesyła pakiet z nieoczekiwanie dużym numerem epoki na wczesnym etapie komunikacji. Brak odpowiedniej walidacji tej wartości (CWE-755: improper handling of exceptional conditions, CWE-770: allocation of resources without limits) prowadzi do zakłóceń w przetwarzaniu ruchu sieciowego. W efekcie serwer może odrzucać prawidłowe pakiety jako fałszywie niepoprawne i potencjalnie stać się niedostępny dla legalnych klientów.

Skutki

Atakujący zdalnie i bez uwierzytelnienia może doprowadzić do odmowy usługi (DoS) na podatnym serwerze DTLS oraz spowodować fałszywe odrzucanie pakietów, zakłócając komunikację z urządzeniami opartymi na Contiki-NG.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium GitHub projektu Contiki-NG tinyDTLS (https://github.com/contiki-ng/tinydtls) w celu pobrania poprawionej wersji oraz aktualizację oprogramowania na wszystkich urządzeniach korzystających z podatnej biblioteki.

Kogo dotyczy

Contiki-NG tinyDTLS — gałąź master do commitu 53a0d97 włącznie

Uwagi

Podatność została ujawniona publicznie w serwisie Full Disclosure w styczniu 2024 roku. Pomimo oceny CVSS 9.8 (CRITICAL), rzeczywisty skutek ogranicza się do DoS i fałszywego odrzucania pakietów — brak wskazań na możliwość wykonania kodu.