arduino-esp32 является ядром Arduino для микроконтроллеров ESP32, ESP32-S2, ESP32-C3, ESP32-C3, ESP32-C6 и ESP32-H2. До 3.3.8 реализация ау…

arduino-esp32 является ядром Arduino для микроконтроллеров ESP32, ESP32-S2, ESP32-C3, ESP32-C3, ESP32-C6 и ESP32-H2. До 3.3.8 реализация аутентификации WebServer Digest в arduino-esp32 вычисляет хэш аутентификации с использованием поля URI из заголовка авторизации клиента, не проверяя, соответствует ли он фактическому запрашиваемому URI. Это позволяет злоумышленнику, который обладает любым действительным ответом на дижерифинг (компьютер для URI-A), аутентифицировать запросы на совершенно другой защищенный URI (URI-B), минуя контроль доступа к ресурсу. Эта уязвимость зафиксирована в 3.3.8.