Dwa zgłoszenia CVE opublikowane 22 i 27 października 2026 opisują przepełnienia bufora w oprogramowaniu urządzeń AiDot, sprzedawanych pod markami Linkind i OREiN. Przez CVE-2026-78846 dowolne urządzenie w sieci lokalnej może jedną spreparowaną odpowiedzią na zapytanie wykrywania uszkodzić pamięć wtyczki albo żarówki. CVE-2026-78845 daje zdalne wykonanie kodu atakującemu, który kontroluje router albo się pod niego podszywa. Badacz opublikował skrypty demonstrujące atak, a poprawionego oprogramowania na razie nie zapowiedziano.

Których urządzeń to dotyczy

Badacz potwierdził podatność w trzech modelach:

  • Linkind Matter Smart Plug, oprogramowanie 1.01.38, układ ESP32-C2
  • OREiN Matter Smart Light Bulb, oprogramowanie 3.30.17, układ ESP32-C3
  • Linkind Wi-Fi Smart Light Bulb, oprogramowanie 3.30.17, układ ESP32-C3

Wpis CVE-2026-78845 wymienia starsze wersje: wtyczkę z oprogramowaniem 1.01.32 i żarówkę OREiN z 3.15.21. Luki występują więc w co najmniej dwóch wersjach oprogramowania obu urządzeń. Badacz spodziewa się, że podatne są też inne produkty AiDot, bo firma w dużej mierze używa w nich tego samego kodu. Błąd siedzi w kodzie AiDot, a nie w układach Espressifu ani w standardzie Matter.

Co jest nie tak

Oba błędy biorą się z tej samej funkcji pomocniczej. Kopiuje ona tekst między znacznikiem początku a znacznikiem końca do bufora o stałym rozmiarze i nie sprawdza, ile ten tekst ma długości.

W przypadku CVE-2026-78846 urządzenie wysyła zapytanie wykrywania SSDP na adres grupowy 239.255.255.250:1900 i odczytuje nagłówek LOCATION z odpowiedzi. Odpowiedź ze zbyt długą wartością LOCATION przepełnia bufor na stercie. Taką odpowiedź może wysłać każde urządzenie w tym samym segmencie sieci. Skrypt badacza pokazuje zapis w dowolne miejsce pamięci. Luka ma ocenę CVSS 3.1 równą 9,8.

CVE-2026-78845 dotyczy odczytu opisu urządzenia głównego UPnP, czyli pliku XML, w którym urządzenie UPnP przedstawia samo siebie. Wtyczka i żarówki pobierają go tylko z bramy sieci lokalnej, więc atakujący musi kontrolować router albo się pod niego podszyć. Zbyt długie pola friendlyName, manufacturer, modelName lub modelNumber przepełniają 128-bajtowy bufor na stosie, a nagranie badacza pokazuje przejęcie przebiegu programu na wtyczce Linkind.

Co zrobić

EUVD i Armis nie podają wersji z poprawką, nie wspomina o niej także opis badacza. Według EPSS szansa wykorzystania luki w ciągu 30 dni jest wyraźnie poniżej 1%, a ani CISA, ani Unia Europejska nie wpisały jej na listy wykorzystywanych podatności. Kod ataku jest jednak publiczny, a do ataku nie trzeba hasła.

  • Przenieś te urządzenia do osobnej sieci albo VLAN-u dla sprzętu IoT, z dala od komputerów i telefonów, które po przejęciu mogłyby posłużyć za przyczółek.
  • Zablokuj SSDP (UDP 1900) między tym segmentem a resztą sieci. Nie ochroni to przed innym przejętym urządzeniem w tym samym segmencie.
  • Sprawdzaj aktualizacje oprogramowania w aplikacji AiDot i zaglądaj na stronę producenta poświęconą zgłaszaniu podatności.

Logo Matter nie oznacza, że ktoś sprawdził całe oprogramowanie urządzenia. Obok stosu Matter działa tu własny kod AiDot do wykrywania urządzeń i obsługi sieci, i to w nim siedzą oba błędy.