Otomotiv İletişim Yazılımı Vsomeip'te Kritik Bellek Tüketim Açığı
COVESA'nın vsomeip kütüphanesindeki bir bellek yönetimi hatası, saldırganların sistem belleğini tüketerek servis dışı bırakma saldırısı yapmasına olanak tanıyor.
Otomotiv sektöründe elektronik kontrol üniteleri arasında servis odaklı iletişim sağlayan vsomeip kütüphanesinde, uzaktan tetiklenebilen ciddi bir bellek yönetimi zafiyeti keşfedildi. CVE-2026-91141 olarak tanımlanan bu açık, yazılımın 3.7.3 ve önceki sürümlerinde yer alan TCP uç nokta işleme mekanizmasındaki bir hatadan kaynaklanıyor.
Söz konusu zafiyet, saldırganların gelen bir mesajın uzunluk bilgisini manipüle ederek sistemin henüz veri doğrulaması yapmadan büyük miktarda bellek ayırmasını sağlamasına dayanıyor. Varsayılan yapılandırmada herhangi bir mesaj boyutu sınırı bulunmadığı için, saldırganlar yaklaşık 4 GB'a kadar bellek tahsisini zorlayabiliyor. Bu durum, özellikle bellek kapasitesi sınırlı olan gömülü sistemlerde servisin anında durmasına ve denial of service (hizmet dışı bırakma) durumunun oluşmasına neden oluyor.
COVESA, bu sorunu gidermek amacıyla yayınladığı 3.7.4 sürümü ile varsayılan mesaj boyutunu 10 MiB ile sınırlandırdı. Güvenlik önlemi olarak bu uç noktaların yalnızca yetkili ve izole edilmiş araç içi ağlarda kullanılması öneriliyor.
İlginizi çekebilir · Siber GüvenlikLiteLLM Tedarik Zinciri Saldırısı, İfşa Olan Bir Master Key ile Başladı
