CVE-2026-116260
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Słabość w libimobiledevice do wersji 1.4.0 w funkcji service_receive pliku src/afc.c komponentu AFC Service. Manipulacja może prowadzić do podwójnego zwolnienia pamięci, a atak może być przeprowadzony zdalnie; exploit jest publicznie dostępny.
Ocena ryzyka
Publicznie dostępny exploit umożliwia zdalne ataki prowadzące do awarii lub potencjalnego wykonania kodu. Producent nie odpowiedział na zgłoszenie, więc poprawka może nie być dostępna.
Rekomendacja
Ogranicz ekspozycję usługi AFC na dostęp zdalny i monitoruj systemy pod kątem nietypowych zachowań; rozważ wdrożenie środków kompensacyjnych do czasu wydania poprawki.
Inne podatności w libimobiledevice
Zobacz wszystkie- CVE-2026-116262Średnie
W libimobiledevice do wersji 1.4.0 wykryto podatność w funkcji webinspector_receive_with_timeout w pliku src/webinspector.c w komponencie Web Inspector. Manipulacja prowadzi do przepełnienia bufora na stercie (heap-based buffer overflow), a atak można przeprowadzić zdalnie. Exploit jest publiczny i może być użyty; dostawca nie odpowiedział na zgłoszenie.
- CVE-2026-116261Niskie
Wykryto podatność bezpieczeństwa w bibliotece libimobiledevice do wersji 1.4.0. Dotyczy ona funkcji afc_file_open w pliku src/afc.c, w komponencie AFC File Handler. Manipulacja argumentem bytes prowadzi do odczytu poza granicami bufora (out-of-bounds read), a atak można zainicjować zdalnie.
- CVE-2026-116259Średnie
W libimobiledevice do wersji 1.4.0 funkcja afc_get_device_info_key w pliku src/afc.c (komponent Device Info Handler) zawiera błąd polegający na manipulacji argumentem Value prowadzącej do uszkodzenia pamięci. Atak wymaga lokalnego dostępu, a publiczny exploit został udostępniony. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-116258Średnie
W libimobiledevice do wersji 1.4.0 w pliku src/afc.c (komponent AFC) występuje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a publiczny exploit jest dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in libimobiledevice up to 1.4.0. This issue affects the function service_receive of the file src/afc.c of the component AFC Service. Executing a manipulation can lead to double free. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS