// ble_control_request_channel.cpp
memcpy(buf_->data, &h, handshake_header_size);  // unbounded copy into 64-byte buffer

// thread_runner.cpp
if (r->eventHandler_) {
    r->eventHandler_(ev);  // function pointer called after adjacent memory corruption
}

handshake_header_size は攻撃者によって制御されます。

buf_->data は境界チェックのない生の64バイトバッファです。

ThreadRunner はインライン関数ポインタ eventHandler_ をバッファの直後に保存します。

buf_->data のオーバーフローにより eventHandler_ の上書きが可能になります。

CWE-120: 古典的なバッファオーバーフロー

CWE-121: スタックベースのバッファオーバーフロー

CWE-122: ヒープベースのバッファオーバーフロー

CWE-787: 境界外書き込み

CWE-829: バッファ付き構造体への関数ポインタの包含

基本値: 8.8（高）

ベクタ: AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Particle Device OS v5.6.0 — 影響あり

v5.7.0以降 — 静かにパッチ適用済み（[Gen 3] BLE: Fix stack overflow in BLE timer callback）

struct ExploitTarget {
    char buffer[64];
    void (*eventHandler)(const char* msg);  // overwrite target
};

char payload[128];
memset(payload, 'A', 64);                          // fill buffer
memcpy(payload + 64, &address_of_rop_shell, 8);    // overwrite function pointer

// Redirect control flow to:
void rop_shell(const char* msg) {
    system("/bin/sh");  // simulated ROP payload
}

特別に細工されたBLE制御メッセージを介したリモートエクスプロイトが可能です。

オーバーフローは、handshake_header_size が64バイトバッファを超えた場合に、ハンドシェイク解析中に発生します。

いったん破損すると、eventHandler_ コールバックが攻撃者制御のコードを呼び出します。

影響を受けるParticleデバイス上での任意のコード実行

機密性、完全性、可用性の完全な侵害

BLE対応環境における永続化とラテラルムーブメントの可能性

オーバーフローが修正されたParticle Device OS v5.7.0以降にアップグレードしてください。

境界チェック（memcpy_s または同等のもの）を使用してBLE解析を堅牢化します。

関数ポインタをオーバーフロー可能なフィールドから分離します。

スタックカナリア、SafeStack、メモリサニタイザを使用してコンパイルします。

Particle Device OS v5.7.0 リリースノート