CVE-2026-16225

Biblioteka Snap7 w wersji do 1.4.3 zawiera podatność out-of-bounds write w trybie pasywnym. Złośliwy aktywny partner może zadeklarować niezwalidowaną długość całkowitą BSend (do 65535 bajtów) i wysłać krótki fragment, powodując że BRecv wykonuje memcpy poza bufor, co prowadzi do awarii lub uszkodzenia procesów SCADA, HMI lub gateway.

W snap7 do wersji 1.4.3 występuje podatność zapisu poza granicami bufora w TSnap7MicroClient::opReadArea(), która pozwala złośliwym partnerom S7 przepełnić bufory klienta poprzez niesprawdzone pole DataLength. Fałszywe lub podszywające się PLC mogą zwracać spreparowane odpowiedzi ReadVar, powodując memcpy do 65535 bajtów do buforów wywołującego, co prowadzi do awarii procesów SCADA, HMI lub gateway i uszkodzenia pamięci.

W davenardella snap7 do wersji 1.4.3 wykryto podatność w funkcji TSnap7MicroClient::opUpload w pliku src/core/s7_micro_client.cpp. Manipulacja argumentem DataLen może prowadzić do uszkodzenia pamięci. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony. Projekt został poinformowany o problemie, ale nie odpowiedział.

davenardella snap7 do wersji 1.4.3 zawiera podatność zapisu poza dozwolonym obszarem w funkcji TS7Worker::PerformFunctionRead w pliku src/core/s7_server.cpp. Atak wymaga dostępu do sieci lokalnej. Exploit został opublikowany i może być wykorzystany.

W bibliotece snap7 w wersji 1.4.3 wykryto przepełnienie bufora sterty w funkcji TS7Worker::PerformFunctionWrite() w pliku /core/s7_server.cpp. Podatność umożliwia atakującemu wywołanie awarii usługi (DoS) poprzez wysłanie spreparowanego pakietu.

W serwerze Snap7 w wersji 1.4.1 wykryto podatność, która pozwala atakującemu na wysłanie spreparowanego pakietu z protokołem COTP, gdzie flaga ostatniej jednostki danych jest ustawiona na Nie, a funkcja S7 zapisuje zmienną. Powoduje to awarię serwera Snap7.