CVE-2025-27840-WIP

CVE-2025-27840 के लिए एक कार्य-प्रगति

CVE-2025-27840 अवलोकन

CVE-2025-27840 एक मध्यम-गंभीरता वाली भेद्यता (CVSS 6.8) है जो Espressif ESP32 ब्लूटूथ चिप्स को प्रभावित करती है, जो वैश्विक स्तर पर 1 बिलियन से अधिक IoT उपकरणों में एकीकृत हैं। यह दोष 29 अप्रलेखित होस्ट कंट्रोलर इंटरफ़ेस (HCI) कमांड से संबंधित है जो अनधिकृत मेमोरी एक्सेस और डिवाइस नियंत्रण को सक्षम कर सकते हैं।

🔧 प्रमुख तकनीकी विवरण

• ESP32 फर्मवेयर संस्करण 2025-03-06 को प्रभावित करता है
• क्रिटिकल कमांड 0xFC02 सीधे मेमोरी लेखन की अनुमति देता है
• शोषण के लिए भौतिक पहुंच या विशेषाधिकार प्राप्त अधिकार की आवश्यकता होती है

⚠️ संभावित जोखिम

• डिवाइस स्पूफिंग और अनधिकृत डेटा एक्सेस
• नेटवर्क पिवोटिंग और लगातार खतरे
• चिकित्सा उपकरणों, स्मार्ट लॉक, और औद्योगिक प्रणालियों से संभावित समझौता

🛡️ शमन स्थिति

• Espressif बैकडोर दावों का खंडन करता है लेकिन भविष्य के अपडेट में अप्रलेखित कमांड हटाने की योजना बना रहा है
• प्रूफ-ऑफ-कॉन्सेप्ट शोषण कोड मौजूद है, हालांकि सक्रिय शोषण की पुष्टि नहीं हुई है
• पहचान के लिए, SOC Prime 40+ सुरक्षा प्लेटफ़ॉर्म के साथ संगत खतरे के नियम प्रदान करता है
• संगठनों को पैच की निगरानी करनी चाहिए और कमजोर उपकरणों तक भौतिक पहुंच प्रतिबंधित करनी चाहिए

नोट: जबकि शुरुआत में इसे बैकडोर के रूप में रिपोर्ट किया गया था, Espressif ने स्पष्ट किया कि शोषण के लिए विशेषाधिकार प्राप्त पहुंच की आवश्यकता होती है, जिससे तत्काल जोखिम कम हो जाता है।