Cesanta Mongoose 6.8, una biblioteca de red embebida usada en dispositivos IoT y aplicaciones conectadas, contiene una vulnerabilidad de corrupción de memoria (CWE-416, use-after-free) en su implementación del protocolo Websocket. Un atacante puede enviar un paquete Websocket especialmente diseñado por la red para provocar que se asigne un buffer dejando punteros obsoletos, lo que deriva en un use-after-free explotable para lograr ejecución remota de código. El CVSS es 9.8 (crítico) y GitHub le asigna severidad CRITICAL.
A pesar de la gravedad, el impacto real medido es acotado: Shodan no tiene hosts indexados con este CVE detectado y la probabilidad de explotación en 30 días según EPSS es de 2.6% (percentil 85%). Esto sugiere que, aunque el fallo es serio en teoría, no hay evidencia de explotación masiva ni de objetivos expuestos en internet al momento de este reporte.
| CVE | CVE-2017-2922 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 2.6% en 30 días (percentil 85) |
| CWE | CWE-416 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |