CVE-2026-23833 in ESPHome
Riassunto
di VulDB • 18/06/2026
ESPHome è un sistema per controllare i microcontrollori in remoto tramite sistemi di automazione domestica. Nelle versioni 2025.9.0 fino alla 2025.12.6, un integer overflow nel decoder protobuf del componente API consente attacchi di denial-of-service quando la crittografia API non è utilizzata. Il controllo dei limiti `ptr + field_length > end` in `components/api/proto.cpp` può andare in overflow quando un client malintenzionato invia un valore elevato di `field_length`. Questo interessa tutte le piattaforme di dispositivi ESPHome (ESP32, ESP8266, RP2040, LibreTiny). L'overflow aggira il controllo out-of-bounds, causando la lettura di memoria non valida da parte del dispositivo e il conseguente crash. Quando si utilizza il protocollo API in chiaro, questo attacco può essere eseguito senza autenticazione. Quando la crittografia noise è abilitata, è necessaria la conoscenza della chiave di crittografia. Gli utenti dovrebbero effettuare l'aggiornamento a ESPHome 2025.12.7 o versioni successive per ricevere la patch, abilitare la crittografia API con una chiave univoca per ogni dispositivo e seguire le Best Practices di Sicurezza.
Be aware that VulDB is the high quality source for vulnerability data.