CVE-2026-38422 : Exécution de code à distance via des débordements de tampon combinés dans la fonction fetch_jpg() de Tasmota

CVE : CVE-2026-38422
Sévérité : Critique (CVSS 9,8)
Produit : Arendst Tasmota
Version affectée : <= 15.3.0.3
Fichier : tasmota/tasmota_xdrv_driver/xdrv_10_scripter.ino
Fonction : fetch_jpg()
Auteur : Saidakbarxon Maxsudxonov
Divulgation : Responsable — signalé à Tasmota avant publication

---

Résumé

La fonction fetch_jpg() du pilote de scripteur de Tasmota (xdrv_10_scripter.ino) contient deux vulnérabilités de corruption mémoire qui, combinées, permettent l'exécution de code à distance sur les appareils basés sur ESP32 exécutant Tasmota <= 15.3.0.3 :

1. Phase 1 (cas 0) : Débordement strcpy() dans un tampon boundary[] fixe de 40 octets — corrompt la mémoire heap adjacente, y compris les pointeurs de vtable WiFiClient/HTTPClient (voir aussi CVE-2026-38426)
2. Phase 2 (cas 2) : Dépassement d'entier uint16_t sur Content-Length — alloue un tampon trop petit provoquant la corruption de l'état du flux (voir aussi CVE-2026-38427)

Utilisées ensemble lors d'une seule attaque, ces deux primitives maximisent la corruption du heap et augmentent significativement la probabilité d'obtenir une exécution de code arbitraire.

---

Chaîne de vulnérabilité

Serveur MJPEG de l'attaquant
       │
       │ Phase 1 : Réponse HTTP 200 avec une chaîne de séparation longue
       │   Content-Type: multipart/x-mixed-replace; boundary=AAAA...AAAA (50+ caractères)
       │   → strcpy(boundary[40], 50_caractères) → DÉBORDEMENT
       │   → Pointeur vtable WiFiClient partiellement écrasé
       ▼
  Heap ESP32 corrompu
       │
       │ Phase 2 : Image MJPEG avec Content-Length > 65535
       │   Content-Length : 65537
       │   → uint16_t size = 1 (dépassement)
       │   → malloc(1), readBytes(buff, 1)
       │   → 65536 octets restent dans le flux → corruption heap/flux
       ▼
  Double corruption → Exécution de code / Déni de service garanti

---

Preuve de concept

# Attaque combinée — phase 1 + phase 2
python3 CVE-2026-38422_poc.py --port 8887 --mode dos

Le serveur PoC :

1. Accepte la connexion de Tasmota (déclenchement de fetchjp())
2. Phase 1 : Envoie une réponse HTTP 200 initiale avec une chaîne de séparation de 80 caractères (débordement)
3. Phase 2 : Envoie des images MJPEG avec Content-Length : 65537 (dépassement)

Voir CVE-2026-38422_poc.py pour l'implémentation complète.

---

Déclenchement via un script Tasmota

>D
>B
fetchjp(ADRESSE_ATTAQUANT:8887/stream,0,0,1)
>1
=fetchjp(2,0,0,1)

L'appareil doit exécuter un script Tasmota utilisant fetchjp(). L'attaquant contrôle le serveur auquel l'appareil se connecte (ou effectue une attaque MITM sur une connexion existante).

---

Impact

• Confidentialité : Élevée — exécution de code sur ESP32, accès aux secrets/identifiants de l'appareil
• Intégrité : Élevée — prise de contrôle totale de l'appareil
• Disponibilité : Élevée — plantage/boucle de redémarrage garantie
• Vecteur d'attaque : Réseau (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• Score CVSS : 9,8 Critique

---

Appareils affectés

Tout appareil Tasmota basé sur ESP32 exécutant une version <= 15.3.0.3 avec le support du scripteur activé et un script utilisant fetchjp() pour se connecter à un serveur MJPEG externe.

---

Chronologie

• 2026-03-29 : Les deux vulnérabilités découvertes et signalées à MITRE
• 2026-03-29 : CVE-2026-38422 attribué
• 2026-05-xx : Correctif publié par Tasmota (v15.3.0.4+)

---

Références

• Tasmota GitHub
• xdrv_10_scripter.ino
• CVE-2026-38422
• Lié : CVE-2026-38426 (débordement strcpy)
• Lié : CVE-2026-38427 (dépassement uint16_t)