CVE-2023-48425

Podatność dotyczy komponentu U-Boot — bootloadera odpowiedzialnego za inicjalizację systemu na urządzeniach Google Chromecast. Na podstawie sklasyfikowanego CWE-20 wskazuje na niewystarczającą walidację danych wejściowych w tym komponencie. Wykorzystanie podatności prowadzi do trwałego wykonania kodu (persistent code execution), co oznacza, że złośliwy kod może przetrwać restarty urządzenia. Wektor ataku sieciowego (AV:N) bez wymagań uwierzytelnienia (PR:N, UI:N) sugeruje możliwość zdalnego wykorzystania podatności.

Atakujący może uzyskać pełną kontrolę nad urządzeniem — zapewnić sobie poufność, integralność i dostępność systemu na najwyższym poziomie, a wykonany kod może utrzymywać się trwale na urządzeniu nawet po jego restarcie.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Chromecast z dnia 2023-12-01 dostępny pod adresem: https://source.android.com/docs/security/bulletin/chromecast/2023-12-01. Urządzenia Google Chromecast zazwyczaj otrzymują aktualizacje automatycznie, jednak administratorzy powinni zweryfikować, czy urządzenia w środowisku organizacyjnym posiadają zainstalowaną najnowszą wersję firmware.

Google Chromecast oraz oprogramowanie firmware Google Chromecast — konkretne wersje wskazane w biuletynie bezpieczeństwa producenta z grudnia 2023 (2023-12-01).

Podatność została ujawniona w ramach biuletynu bezpieczeństwa Chromecast z datą 2023-12-01 i opublikowana jako CVE w dniu 2023-12-11. Trwałość wykonanego kodu (persistent code execution) stanowi szczególne zagrożenie w kontekście urządzeń IoT, które rzadko podlegają aktywnej kontroli bezpieczeństwa w środowiskach korporacyjnych.