CVE-2025-69209 in ArduinoCore-avr
Tóm tắt
Bởi VulDB • 28/06/2026
ArduinoCore-avr chứa mã nguồn và các tệp cấu hình của nền tảng Arduino AVR Boards. Một lỗ hổng trong các phiên bản trước 1.8.7 cho phép kẻ tấn công kích hoạt một lỗi tràn bộ nhớ đệm dựa trên ngăn xếp (stack-based buffer overflow) khi chuyển đổi giá trị dấu phẩy động sang chuỗi với độ chính xác cao. Bằng cách truyền các giá trị `decimalPlaces` rất lớn vào hàm tạo String hoặc phương thức concat bị ảnh hưởng, hàm `dtostrf` ghi dữ liệu vượt ra ngoài bộ nhớ đệm ngăn xếp kích thước cố định, gây hỏng hóc bộ nhớ và từ chối dịch vụ (DoS). Trong một số điều kiện cụ thể, sự việc này có thể cho phép thực thi mã tùy ý trên các bo mạch Arduino dựa trên kiến trúc AVR.
### Bản vá
- Bản sửa lỗi đã được bao gồm kể từ phiên bản `1.8.7`, có sẵn tại liên kết sau [ArduinoCore-avr v1.8.7](https://github.com/arduino/ArduinoCore-avr)
- Commit chứa mã sửa lỗi có thể xem tại liên kết sau [1a6a417f89c8901dad646efce74ae9d3ddebfd59](https://github.com/arduino/ArduinoCore-avr/pull/613/commits/1a6a417f89c8901dad646efce74ae9d3ddebfd59)
### Tài liệu tham khảo
- [ASEC-26-001 ArduinoCore-avr vXXXX Khắc phục Lỗ hổng Tràn bộ nhớ đệm](https://support.arduino.cc/hc/en-us/articles/XXXXX)
### Ghi nhận công sức
- Maxime Rossi Bellom và Ramtine Tofighi Shirazi từ SecMate (https://secmate.dev/)
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.