El CVE-2018-3902 es una vulnerabilidad de desbordamiento de búfer (CWE-787) en la función "replace" de la cámara del servidor HTTP de video-core en los dispositivos Samsung SmartThings Hub STH-ETH-250 con firmware versión 0.20.17. El proceso video-core extrae incorrectamente el campo URL de una carga útil JSON controlada por el usuario, lo que provoca un desbordamiento en la pila. Un atacante puede enviar una solicitud HTTP para desencadenar la vulnerabilidad.
Con una puntuación CVSS de 9.9, es crítica. Sin embargo, Shodan no tiene hosts indexados con este CVE, lo que sugiere que la exposición real en internet es mínima. El EPSS indica un 1.8% de probabilidad de explotación en los próximos 30 días. GitHub Security Advisory la clasifica como crítica. Aunque el impacto potencial es alto, la falta de objetivos expuestos reduce el riesgo inmediato.
| CVE | CVE-2018-3902 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.9 / 10 |
| EPSS | 1.8% en 30 días (percentil 77) |
| CWE | CWE-787 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |