Le ZDI de Trend Micro a publié plusieurs advisories mettant en évidence des vulnérabilités dans le dispositif de communication Deep Sea Electronics DSE855.Le dispositif permet la surveillance via une connexion USB et manque de mesures d'authentification de base, ce qui entraîne la divulgation de la sauvegarde de la configuration.Deux gestionnaires supplémentaires non authentifiés permettent aux attaquants de redémarrer ou de réinitialiser le dispositif à ses paramètres d'usine.Le fuzzing du dispositif a révélé une overflow de pile dans la gestion des valeurs de limite dans les requêtes multipart, ce qui pourrait entraîner l'exécution de code arbitraire.Un autre overflow de buffer a été identifié dans la gestion des valeurs dans les requêtes multipart, permettant aux attaquants de modifier la mémoire et potentiellement d'exécuter du code arbitraire.Une erreur logique dans la gestion des valeurs de limite a entraîné une boucle infinie et une déni de service.Malgré la notification des vulnérabilités à Deep Sea Electronics en janvier, aucun correctif n'a été publié dans le délai standard de 120 jours du ZDI, ce qui a conduit à la publication d'advisories 0-day en juin.Le logiciel du dispositif est basé sur le middleware embOS/IP de Segger, qui n'avait apparemment pas de mécanisme d'authentification pour les fonctions critiques.Le système embarqué manquait de mécanismes de mitigation d'exploitation tels que le bit NX ou la randomisation de la mise en page, le rendant vulnérable à l'exploitation.Le ZDI souligne l'importance de la divulgation responsable des vulnérabilités et encourage les vendeurs à mettre en place des processus de gestion des incidents appropriés.