Vulnerabilidad crítica en cliente SMTP de lwIP afecta infraestructura clave

La vulnerabilidad, clasificada como CWE-120 por una "copia de búfer sin verificación del tamaño de entrada", es un tipo clásico de desbordamiento de búfer. Su explotación exitosa podría llevar a la caída del dispositivo afectado o, en escenarios más graves, a la ejecución remota de código arbitrario. La puntuación de severidad asignada por el Common Vulnerability Scoring System (CVSS) es de 9.8 en su versión 3.1 y de 9.3 en la versión 4.0, ambas categorizadas como CRITICAL.

El impacto de este fallo es relevante debido al uso extendido del cliente SMTP de lwIP en sectores como la energía, el agua y los sistemas de aguas residuales, considerados infraestructuras críticas. La vulnerabilidad ha sido confirmada en la versión 2.2.1 de Savannah lwIP SMTP client, según detalla un aviso de CISA.

La organización xchglabs fue la responsable de reportar la vulnerabilidad. En respuesta, Savannah ha publicado una corrección a través del parche patch_125_smtp_txbuf.diff, disponible como el commit de Git 614420f82c8729d070e01464c0dddb3c9525c772.

CISA ha emitido recomendaciones para mitigar el riesgo de explotación. Estas incluyen minimizar la exposición de red de todos los dispositivos y sistemas de control, asegurar que no sean accesibles desde internet, y ubicar las redes de sistemas de control detrás de cortafuegos, aislándolas de las redes corporativas. Asimismo, se aconseja el uso de métodos seguros como las redes privadas virtuales (VPN) cuando el acceso remoto sea indispensable, recordando la importancia de mantener estas soluciones actualizadas.