Компания Trend Micro's ZDI опубликовала несколько уведомлений, подчеркивающих уязвимости в устройстве связи Deep Sea Electronics DSE855.Устройство позволяет проводить мониторинг через USB-коннект и не имеет базовых мер аутентификации, что приводит к раскрытию резервного копирования конфигурации.Два дополнительных неаутентифицированных обработчика позволяют атакующим перезапускать или сбрасывать устройство до заводских настроек.Приведение устройства к фаззингу выявило стэк-ориентированный переполнивание буфера в обработке граничных значений в запросах multipart, что потенциально позволяет выполнить произвольный код.Было обнаружено еще одно переполнивание буфера в обработке значений в запросах multipart, позволяющее атакующим переписать память и потенциально выполнить произвольный код.Логическая ошибка в обработке граничных значений привела к бесконечному циклу и отказу в обслуживании.Несмотря на то, что уязвимости были сообщены Deep Sea Electronics в январе, не было выпущено никаких исправлений в течение стандартного 120-дневного срока ZDI, что привело к публикации 0-дневных уведомлений в июне.Программное обеспечение устройства основано на middleware embOS/IP от Segger, у которого не было видимой аутентификации для критических функций.Встроенная система не имела защитных мер против эксплуатации, таких как бит NX или случайное размещение, что делало ее уязвимой для эксплуатации.ZDI подчеркивает важность ответственной раскрытия уязвимостей и призывает производителей внедрять соответствующие процессы реагирования на инциденты.