Se descubrió una vulnerabilidad crítica (CVSS 7.5) en BusyBox que afecta a su cliente TFTP. Cuando el cliente solicita un tamaño de bloque personalizado pequeño y recibe una respuesta estándar, vuelve al tamaño de bloque predeterminado sin redimensionar el búfer de memoria asignado. Un servidor TFTP malicioso puede explotar esto enviando paquetes de tamaño estándar durante una transferencia, causando un desbordamiento de búfer en heap que permite ejecución de código arbitrario o denegación de servicio.
Aunque Shodan no reporta hosts expuestos actualmente, la vulnerabilidad es crítica y afecta a dispositivos que utilizan BusyBox con cliente TFTP habilitado.
| CVE | CVE-2026-124737 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| CWE | CWE-787 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |