P-Netに遠隔から サービス拒否を引き起こされる脆弱性
Summary
P-Netの1.0.3より前のバージョンには、エンディアンの誤ったRPCリクエストを受けたときにAR（Application Relationship）とRPCセッションが解放されず、リソースが枯渇する脆弱性があります。認証されていない遠隔の攻撃者が繰り返しリクエストを送ると、機器は新しいRPCリクエストに応答しなくなり、再起動するまで復旧しません。修正版の1.0.3が公開されているので、該当する機器はアップデートしてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
P-Netの1.0.3より前のバージョンには、エンディアンの誤ったRPCリクエストを受けたときにAR（Application Relationship）とRPCセッションが解放されず、リソースが枯渇する脆弱性があります。認証されていない遠隔の攻撃者が繰り返しリクエストを送ると、機器は新しいRPCリクエストに応答しなくなり、再起動するまで復旧しません。修正版の1.0.3が公開されているので、該当する機器はアップデートしてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| RT-Labs | P-Net |
< 1.0.3 |
1.0.3 |
Original description The description as published by the source.
P-Net before 1.0.3 does not release the Application Relationship (AR) and the RPC session when an RPC request is rejected because its data representation has incorrect endianness. The session and its AR remain allocated, so repeated requests exhaust the available sessions. Once they are exhausted the device no longer answers new RPC requests, including Connect, until it is restarted. A remote unauthenticated attacker can use this to cause a denial of service.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web rt-labs.com
- web nvd.nist.gov
- web github.com