- Yama var
- Son 7 gün
- CWE-476
- CWE-672
CVE-2026-62966
ESPAsyncWebServer çok parçalı (multipart) ayrıştırıcıda NULL işaretçiye yazma hatası
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, ağ üzerinden erişilebilen bazı gömülü cihazların kimse tarafından kimlik doğrulaması yapılmadan yeniden başlatılmasına yol açabilir. Cihazlar kesintiye uğrayabileceğinden hizmet sürekliliği riski taşır. Kullanılan kütüphane sürümünün hızla güncellenmesi önerilir.
ÖzetTürkçe
ESPAsyncWebServer, ESP32, ESP8266, RP2040 ve RP2350 cihazları için asenkron HTTP ve WebSocket sunucu kütüphanesidir. 3.11.2 öncesi sürümlerde multipart ayrıştırıcı, dosya parçasının kapanış sınırını algıladığında tampon belleği serbest bırakıp işaretçiyi NULL yapmakta, ardından bir sonraki baytın geçerli bir sonlandırıcı olup olmadığını doğrulamadan işleme devam etmektedir. Bu durumda geri sarma adımı NULL işaretçiye yazma yapabilmektedir. Etkilenen sistemler, dosya yükleme veya web üzerinden yazılım güncelleme gibi gövde işleyicisi bulunan uç noktalara sahip ESPAsyncWebServer kullanan cihazlardır.
Saldırgan ne yapabilir?
Saldırgan, özel hazırlanmış bir çok parçalı istek göndererek cihazın çökmesine ve yeniden başlatılmasına neden olabilir; bu da uzaktan hizmet dışı bırakma (DoS) anlamına gelir. Kimlik doğrulama gerektirmez.
Kaynaktaki açıklama (İngilizce)
ESPAsyncWebServer is an asynchronous HTTP and WebSocket server library for ESP32, ESP8266, RP2040 and RP2350. Prior to version 3.11.2, the multipart parser in src/WebRequest.cpp frees _itemBuffer and sets it to NULL when BOUNDARY_OR_DATA matches the closing boundary of a file part, before confirming the following terminator, while leaving _itemIsFile true. If the next byte is neither the final closing dashes nor a clean CRLF, the DASH3_OR_RETURN2 or EXPECT_FEED2 rewind branch re-injects provisionally consumed bytes through itemWriteByte. Because _itemIsFile remains true, _itemBuffer[_itemBufferIndex++] writes through a null pointer. On ESP32 this causes a StoreProhibited exception, panic and device reboot, producing remote denial of service. A route with a non-trivial body/upload handler, such as a file-upload or web-OTA endpoint, must be present. This issue is fixed in version 3.11.2.
Ne yapmalı?
- ESPAsyncWebServer kütüphanesini 3.11.2 veya üzeri bir sürüme yükseltin. Üretici
- Güncellemeden sonra dosya yükleme ve web üzerinden güncelleme uç noktalarının beklendiği gibi çalıştığını doğrulayın. Genel öneri
Ek önlemler
- Dosya yükleme ve web üzerinden güncelleme uç noktalarına erişimi yalnızca güvenilir ağlarla ve kimlik doğrulamayla sınırlayın. Genel öneri
- Cihazların beklenmedik yeniden başlatmalarını izleyin; sık tekrarlayan reset kayıtları saldırı belirtisi olabilir. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ESP32Async ESPAsyncWebServer | < 3.11.2 | 3.11.2 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.