Tasmota'da CVSS 9.8'lik heap taşması, yerel ağdan tek UDP paketiyle akıllı prizleri çökertebiliyor
Açık kaynak IoT firmware'i Tasmota'nın Device Groups özelliğinde kimlik doğrulaması gerektirmeyen bir heap out-of-bounds write açığı (CVE-2026-119756) var. 16.0.0 dahil sürümler etkileniyor; düzeltme commit'te, kararlı sürüm henüz yok.
CVE-2026-119756
Akıllı priz, röle ve ampullerde orijinal yazılımın yerine sıkça kurulan açık kaynak firmware Tasmota'da kritik bir bellek açığı yayımlandı. NVD ve VulnCheck kayıtlarına göre CVE-2026-119756 (CVSS 9.8), SendReceiveDeviceGroupMessage() fonksiyonunda bir heap out-of-bounds write hatası. Aynı yerel ağdaki kimliği doğrulanmamış bir saldırgan, UDP 4447 portuna özel hazırlanmış Device Groups mesajları göndererek 512 baytlık sabit bir tamponun dışına yazdırabiliyor.
Kayda göre bunun en olası sonucu cihazın çökmesi. ASLR ve heap koruması bulunmayan ESP8266 ve ESP32 platformlarında yerel kod çalıştırma ihtimali de var. Saldırı yalnızca yerel ağdan yapılabiliyor ve Device Groups özelliğinin açık olmasını gerektiriyor. Açık CISA KEV kataloğunda yok, istismar bildirimi de yok. Tasmota geliştiricisi düzeltmeyi 6 Kasım'da "Fix security issue" başlıklı commit'le ana dala ekledi.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Tasmota (ESP8266, ESP32) | 16.0.0 dahil önceki sürümler | Kararlı sürüm henüz yok; düzeltme e97e1e4 commit'inde |
Son kararlı sürüm 16 Ekim'de çıkan v16.0.0 ve düzeltmeyi içermiyor. Düzeltmeyi içeren ilk sürüm için Tasmota sürüm sayfasını takip edin.
Beni etkiliyor mu?
Cihazın firmware sürümünü Tasmota web arayüzünde Ana sayfa › Information ekranında görebilirsiniz. Device Groups'un açık olup olmadığını aynı ekrandaki ayar özetinden ya da cihaz şablonu ve yapılandırma yedeğinizden kontrol edin; Tasmota belgelerinde bu özellik SetOption85 ayarıyla yönetiliyor. Ağınızda UDP 4447'yi dinleyen cihazları envanterinizden de çıkarabilirsiniz.
Ne yapılmalı?
- Düzeltmeyi içeren Tasmota sürümü yayımlandığında cihazları güncelleyin; geliştirme derlemesi kullanmayı tercih ederseniz bunu önce bir test cihazında deneyin.
- Device Groups özelliğini kullanmıyorsanız, güncelleme gelene kadar arayüzden kapalı olduğunu doğrulayın. Bu bir ayar değişikliği olduğu için toplu cihazlarda planlı yapın.
- IoT cihazlarını ayrı bir VLAN'a alıp misafir ve kullanıcı ağlarından UDP 4447 erişimini sınırlamak, açığın yerel ağ şartını daha da daraltır.
- Beklenmeyen yeniden başlama ya da çökme yaşayan cihazların loglarını inceleyin.
