CVE-2025-56361: уязвимость отказа в обслуживании в Matter SDK (connectedhomeip)
В Matter SDK (connectedhomeip) версий 1.3–1.4 обнаружена уязвимость, приводящая к отказу в обслуживании через срабатывание проверки-утверждения в логике Level Control кластера. Атака выполняется удалённо без аутентификации. Проблема затрагивает устройства умного дома на базе затронутых версий SDK.
Подробности
Уязвимость затрагивает Matter SDK (connectedhomeip) версий 1.3–1.4 (подтверждено на коммите ab3d5ae). Технически проблема локализована в серверной логике тика кластера Level Control — функции `emberAfLevelControlClusterServerTickCallback`. Сценарий срабатывания следующий: сначала выполняется команда MoveToLevel, а затем производится конфликтующая запись в атрибут OperationMode кластера Pump Configuration and Control. В результате проверка инварианта `minLevel < currentLevel` не проходит, и устройство аварийно завершает работу (assert/abort). Это приводит к состоянию отказа в обслуживании. Особенность уязвимости в том, что она классифицируется как «достижимое утверждение» (reachable assertion) — то есть штатная проверка корректности внутреннего состояния превращается в вектор атаки при определённой последовательности легитимных на первый взгляд команд. Триггер срабатывает удалённо и не требует аутентификации, что повышает практическую значимость проблемы для сетевых устройств умного дома. Информация о значении CVSS в предоставленной записи CVE отсутствует, поэтому оценка критичности по данной шкале не приводится. При этом отсутствие требования аутентификации и удалённый характер эксплуатации указывают на существенный риск: устройство может быть выведено из строя без физического доступа и без учётных данных.Что делать
Основная рекомендация — обновить Matter SDK / прошивку устройства до версии, содержащей исправление. Поскольку в записи CVE конкретная исправленная версия не указана, следует ориентироваться на актуальные релизы connectedhomeip и рекомендации производителя конкретного устройства. Дополнительные меры: - Проверить, на какой версии Matter SDK работает ваше устройство, и сопоставить её с диапазоном 1.3–1.4. - Обратиться к вендору устройства за информацией о наличии патча и сроках его выпуска. - До установки исправления ограничить сетевой доступ к устройству, изолировать его в отдельном сегменте сети и исключить возможность подключения недоверенных узлов Matter. - Отслеживать официальные уведомления проекта connectedhomeip и производителя. Итог: CVE-2025-56361 — это удалённо эксплуатируемая без аутентификации уязвимость отказа в обслуживании в Matter SDK 1.3–1.4, вызванная срабатыванием проверки-утверждения при конфликтующих командах. Ключевая мера защиты — своевременное обновление SDK и изоляция затронутых устройств до выхода патча.Источник: CVE Project (cvelistV5)