CVE-2021-3510 描述了 Zephyr JSON 解码器中的一个漏洞，该漏洞源于对数组的数组的错误解码。此问题可能导致拒绝服务，影响 Zephyr 版本大于 1.14.0 和 2.5.0 的系统。目前尚未发布官方修复版本，建议采取临时缓解措施。
此漏洞允许攻击者通过构造恶意 JSON 数据包来触发 Zephyr JSON 解码器的错误，导致系统崩溃或拒绝服务。攻击者无需身份验证即可利用此漏洞，这使得其潜在影响范围非常广泛。由于 Zephyr RTOS 被广泛应用于物联网设备和嵌入式系统，因此此漏洞可能影响大量设备，并可能导致设备失灵或数据泄露。虽然目前没有已知的公开利用代码，但该漏洞的严重性表明攻击者可能会积极寻找利用方法。
该漏洞已公开披露，并被记录在 GitHub 安全公告中 (GHSA-289f-7mw3-2qf4)。目前没有已知的公开利用代码，但由于漏洞的严重性，预计可能会出现。该漏洞的概率评估取决于 Zephyr RTOS 的部署环境和攻击者的动机。建议密切关注安全社区的动态，并及时采取必要的安全措施。
Organizations and developers utilizing Zephyr RTOS in embedded systems, IoT devices, and real-time applications are at risk. Systems relying on external JSON data sources, particularly those with limited input validation, are especially vulnerable. Projects using older, unsupported versions of Zephyr are also at increased risk.
disclosure
漏洞利用状态
EPSS
0.33% (56% 百分位)
CVSS 向量
由于尚未发布官方修复版本，建议采取以下缓解措施：首先，仔细审查所有 JSON 数据源，确保其格式正确且不包含恶意内容。其次，考虑实施输入验证和过滤机制，以防止恶意 JSON 数据包进入系统。此外，可以考虑使用 Web 应用程序防火墙 (WAF) 或代理服务器来拦截和过滤恶意流量。密切关注 Zephyr 项目的安全公告，并及时更新到最新的稳定版本。
升级到修复此漏洞的 Zephyr 版本。请参阅 GitHub 安全公告以获取有关修复的更多详细信息。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2021-3510 是 Zephyr JSON 解码器中发现的一个漏洞，该漏洞源于对数组的数组的错误解码，可能导致拒绝服务。
如果您使用 Zephyr RTOS 版本大于 1.14.0 和 2.5.0，则可能受到此漏洞的影响。
目前尚未发布官方修复版本。建议采取缓解措施，例如输入验证和过滤，并密切关注官方更新。
目前没有已知的公开利用代码，但由于漏洞的严重性，预计可能会出现。
请访问 Zephyr 项目的安全公告页面：https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-289f-7mw3-2qf4