Критическая уязвимость CVE-2026-103416 в NetX Duo: переполнение буфера при TLS 1.3 рукопожатии
В стеке Eclipse ThreadX NetX Duo 6.5.1.202602 обнаружена критическая уязвимость переполнения буфера (CVSS 9.3), связанная с кэшем сообщений рукопожатия TLS 1.3. Атакующий сервер может перезаписать управляющие указатели в блоке управления сессией ещё до проверки сертификата, что ведёт к компрометации устройства. Уязвимы встраиваемые системы и IoT-устройства на базе NetX Duo.
Подробности
Уязвимость затрагивает Eclipse ThreadX NetX Duo версии 6.5.1.202602. Оценка по шкале CVSS составляет 9.3 (CRITICAL), что отражает возможность удалённой эксплуатации без аутентификации и высокую потенциальную опасность. Техническая суть проблемы — out-of-bounds write в кэше сообщений рукопожатия (handshake message cache) протокола TLS 1.3. Если поступающее сообщение рукопожатия превышает размер кэша, запись выходит за его границы и продолжается в остальную часть блока управления сессией (session control block), где хранятся указатели. Перезапись этих указателей нарушает целостность внутренних структур и может привести к выполнению произвольного кода либо к отказу в обслуживании. Особую опасность представляет момент срабатывания: вредоносный или скомпрометированный сервер может заставить TLS 1.3-клиента сформировать такое сообщение до завершения аутентификации по сертификату. Иными словами, для достижения уязвимого кода не требуется действительный сертификат сервера — достаточно, чтобы клиент начал рукопожатие с атакующим узлом.Что делать
Основная рекомендация — обновить NetX Duo до версии, в которой устранена данная уязвимость, как только Eclipse Foundation выпустит соответствующий патч. Следите за официальными бюллетенями проекта Eclipse ThreadX. Если обновление на текущем этапе невозможно, рассмотрите следующие меры снижения риска: - Ограничьте список доверенных серверов, с которыми устройство устанавливает TLS-соединения, и используйте сетевую сегментацию, чтобы исключить подключение к подконтрольным злоумышленнику узлам. - При наличии возможности отключите или ограничьте использование TLS 1.3-клиента на критичных устройствах до применения патча. - Применяйте мониторинг аномалий сетевого взаимодействия и журналирование рукопожатий для раннего выявления подозрительных подключений. - Проведите инвентаризацию парка устройств на базе NetX Duo, чтобы оценить масштаб влияния.Итог
CVE-2026-103416 — серьёзная уязвимость переполнения буфера в TLS 1.3-клиенте NetX Duo, эксплуатируемая удалённо и не требующая валидного сертификата сервера. Для парка встраиваемых и IoT-устройств это создаёт прямой риск компрометации. Приоритетное действие — установка официального обновления; до его выхода следует применять сетевые митигации и усиленный мониторинг.Источник: CVE Project (cvelistV5)