CVE-2025-69209 in ArduinoCore-avr
Zusammenfassung
von VulDB • 24.05.2026
ArduinoCore-avr enthält den Quellcode und die Konfigurationsdateien der Arduino AVR Boards-Plattform. Eine Schwachstelle in Versionen vor 1.8.7 ermöglicht es einem Angreifer, einen stack-basierten Buffer Overflow auszulösen, wenn Gleitkommazahlen mit hoher Präzision in Zeichenketten konvertiert werden. Durch das Übergeben sehr großer `decimalPlaces`-Werte an die betroffenen String-Konstruktoren oder concat-Methoden schreibt die Funktion `dtostrf` über die Grenzen der fest großen Stack-Puffer hinaus, was zu einer Speicherbeschädigung und einem Denial of Service führt. Unter bestimmten Bedingungen könnte dies die Ausführung beliebigen Codes auf auf AVR basierenden Arduino-Boards ermöglichen.
### Patches
- Die Korrektur ist ab der Version `1.8.7` verfügbar, die unter dem folgenden Link heruntergeladen werden kann [ArduinoCore-avr v1.8.7](https://github.com/arduino/ArduinoCore-avr)
- Der korrigierende Commit ist unter dem folgenden Link verfügbar [1a6a417f89c8901dad646efce74ae9d3ddebfd59](https://github.com/arduino/ArduinoCore-avr/pull/613/commits/1a6a417f89c8901dad646efce74ae9d3ddebfd59)
### Referenzen
- [ASEC-26-001 ArduinoCore-avr vXXXX behebt Buffer Overflow-Schwachstelle](https://support.arduino.cc/hc/en-us/articles/XXXXX)
### Credits
- Maxime Rossi Bellom und Ramtine Tofighi Shirazi von SecMate (https://secmate.dev/)
If you want to get best quality of vulnerability data, you may have to visit VulDB.