Cesanta Mongoose 6.8, una biblioteca de red embebida usada en dispositivos IoT y aplicaciones con servidor HTTP integrado, contiene una vulnerabilidad de tipo use-after-free (CWE-416) en su implementación del servidor HTTP. Un atacante puede enviar por red una petición HTTP POST normal apuntando a un recurso CGI para provocar la reutilización de un puntero ya liberado, lo que potencialmente deriva en ejecución remota de código. El fallo tiene un CVSS de 9.8 (crítico) y GitHub lo clasifica como CRITICAL en su aviso GHSA-rwjm-353c-64rx.
A pesar de la severidad, Shodan no tiene actualmente ningún host indexado con este CVE detectado, y la probabilidad de explotación real en los próximos 30 días es de solo 2.8% según EPSS (percentil 86%). Esto sugiere que, aunque el impacto potencial es alto, la exposición pública conocida es prácticamente nula al momento de este reporte.
| CVE | CVE-2017-2891 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 2.8% en 30 días (percentil 86) |
| CWE | CWE-416 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |