CVE-2026-115863

WysokieCVSS 7.6

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

ConnMan do wersji 2.0 zawiera przepełnienie bufora na stosie w funkcji get_domains w gdhcp/client.c, wywoływane przez komunikat DHCPv6 Reply. Kopiuje ona stałą liczbę 1025 bajtów z opcji DOMAIN_LIST (opcja 24) do bufora stosu dns_name o rozmiarze 1026 bajtów, niezależnie od rzeczywistej długości opcji, a następnie przechodzi etykiety DNS w pętli bez ograniczeń. Spreparowany komunikat DHCPv6 REPLY z opcją DOMAIN_LIST o długości co najmniej 1025 niezerowych bajtów powoduje wyjście poza bufor i zapis/odczyt poza jego końcem. Atakujący w tej samej sieci może to wywołać bez uwierzytelnienia poprzez sfałszowany Router Advertisement (O=1) i sfałszowany DHCPv6 REPLY.

Ocena ryzyka

Nieuwierzytelniony atakujący w sieci lokalnej może doprowadzić do awarii connmand działającego jako root, a potencjalnie do dalszych skutków wynikających z uszkodzenia pamięci. Może to zakłócić konfigurację sieci na dotkniętych urządzeniach.

Rekomendacja

Zaktualizuj ConnMan do wersji zawierającej poprawkę lub ogranicz podatną funkcjonalność. Do czasu aktualizacji rozważ wyłączenie DHCPv6 lub ograniczenie zaufania do serwerów DHCPv6 w sieci.

Inne podatności w ConnMan

CVE-2017-12865Krytyczne
W podatności CVE-2017-12865 występuje przepełnienie bufora na stosie w pliku 'dnsproxy.c' w wersjach connman 1.34 i wcześniejszych. Umożliwia to zdalnym atakującym spowodowanie awarii usługi lub wykonanie dowolnego kodu poprzez spreparowany ciąg zapytania przekazany do zmiennej 'name'.

Oryginalny opis (angielski, źródło NVD)

ConnMan through 2.0 has a stack-based buffer overflow via a DHCPv6 Reply message. This occurs in get_domains in gdhcp/client.c. It copies a fixed NS_MAXDNAME (1025) bytes from a DHCPv6 DOMAIN_LIST (option 24) value into a 1026-byte stack buffer dns_name regardless of the actual option length, then walks DNS labels with an unbounded "c += jump + 1" loop. A crafted DHCPv6 REPLY with a DOMAIN_LIST option of >= 1025 non-zero bytes makes the label walk leave the buffer and read/write '.' past its end in attacker-chosen strides. An on-link attacker can trigger this without authentication via a forged Router Advertisement (O=1) and a forged DHCPv6 REPLY matching xid/CLIENTID with a long DOMAIN_LIST. The impact is unauthenticated on-link crash of connmand (runs as root). This was introduced in bb06c47.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS