CVE-2026-113780 Escritura fuera de límites en ESP-IDF al cambiar de privilegios en ESP-TEE
El ingreso de traps de esp_tee en esp_tee_vectors_plic.S y esp_tee_vectors_clic.S guarda un marco de registros controlado por el llamador usando el puntero de pila provisto por el REE antes de cambiar a la pila del TEE o validar el puntero. Una aplicación local sin privilegios en el REE puede dirigir esta escritura en modo máquina a memoria exclusiva del TEE en ESP32-C5, ESP32-C6, ESP32-C61 y ESP32-H2, rompiendo el aislamiento REE/TEE y pudiendo corromper datos de flujo de control del TEE para ejecución de…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 3
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
espressif esp-idf
< 5.5.6>= 6.0.0, < 6.0.4>= 6.1.0, < 6.1.1
Qué hacer
- Verificá si usás esp-idf y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.3 CRÍTICA
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
ESF-IDF is the Espressif Internet of Things (IOT) Development Framework. From 5.5.5 until 5.5.6, 6.0.4, and 6.1.1, the esp_tee trap entry in esp_tee_vectors_plic.S and esp_tee_vectors_clic.S saves a caller-controlled register frame through the REE-supplied stack pointer before switching to the trusted TEE stack or validating the pointer. A local unprivileged REE application can direct this machine-mode write into TEE-exclusive memory on ESP32-C5, ESP32-C6, ESP32-C61, and ESP32-H2 devices, breaking the REE/TEE isolation boundary and potentially corrupting TEE control-flow data for code execution, denial of service, or system crashes. Both secure-service ecall and interrupt entry paths contain the vulnerable ordering. This issue is fixed in version 5.5.6 and is scheduled to be fixed in versions 6.0.4 and 6.1.1.
Referencias (6)
- github.com/espressif/esp-idf/security/advisories/GHSA-49x8-xqjg-2pjg
- github.com/espressif/esp-idf/commit/773761abb893d43d0a5b8b75ec0a1c2cf0287d53
- github.com/espressif/esp-idf/commit/acb7d996b07293abf591b93f4aaffa04ae6732d9
- github.com/espressif/esp-idf/commit/b85a7b0e1449ac9aec30a0c3e3b6515725556fd1
- github.com/espressif/esp-idf/commit/dabd37fae8d2a7b1cc71f48fce824b0b9d909a07
- github.com/espressif/esp-idf/releases/tag/v5.5.6
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.