CVE-2026-34933
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Avahi, system do wykrywania usług w sieci lokalnej za pomocą mDNS/DNS-SD, przed wersją 0.9-rc4 jest podatny na atak DoS. Każdy nieuprzywilejowany użytkownik lokalny może wysłać pojedyncze wywołanie metody D-Bus z konfliktowymi flagami publikacji, powodując awarię avahi-daemon.
Ocena ryzyka
Atakujący może spowodować awarię usługi Avahi, co zakłóci wykrywanie usług w sieci lokalnej i może wpłynąć na działanie innych usług zależnych od mDNS/DNS-SD.
Rekomendacja
Zaleca się aktualizację Avahi do wersji 0.9-rc4 lub nowszej, która zawiera poprawkę dla tej podatności.
Inne podatności w Avahi
Zobacz wszystkie- CVE-2026-24401Średnie
Avahi w wersjach 0.9rc2 i starszych pozwala na zawieszenie avahi-daemon poprzez wysłanie nieoczekiwanej odpowiedzi mDNS zawierającej rekurencyjny rekord CNAME, w którym alias i nazwa kanoniczna wskazują tę samą domenę. Powoduje to nieograniczoną rekurencję w funkcji lookup_handle_cname i wyczerpanie stosu. Podatność dotyczy przeglądarek rekordów z ustawionym AVAHI_LOOKUP_USE_MULTICAST, w tym tworzonych przez resolvery używane przez nss-mdns.
- CVE-2025-59529Średnie
Podatność w Avahi (do wersji 0.9-rc5) polega na ignorowaniu zdefiniowanego limitu klientów (CLIENTS_MAX) przez prosty serwer protokołu. Serwer bezwarunkowo akceptuje nieograniczoną liczbę połączeń, co pozwala nieuprzywilejowanym lokalnym użytkownikom na wyczerpanie pamięci i deskryptorów plików demona, powodując lokalny atak typu denial of service (DoS). Brak oficjalnej poprawki, ale dostępny jest kandydat w pull requeście 808.
- CVE-2023-38473Średnie
W bibliotece Avahi występuje podatność polegająca na osiągalnym asercie w funkcji avahi_alternative_host_name(). Nieprawidłowe dane wejściowe mogą doprowadzić do przerwania działania demona Avahi.
- CVE-2023-38472Średnie
W bibliotece Avahi występuje podatność polegająca na osiągalnym asercie w funkcji avahi_rdata_parse(). Spreparowane rekordy DNS mogą doprowadzić do przerwania działania demona.
- CVE-2023-38471Średnie
W Avahi wykryto podatność. W funkcji dbus_set_host_name istnieje osiągalna asercja.
- CVE-2023-38470Średnie
W bibliotece Avahi występuje podatność polegająca na osiągalnym asercie w funkcji avahi_escape_label(). Nieprawidłowe dane wejściowe mogą doprowadzić do przerwania działania demona.
- CVE-2023-38469Średnie
W bibliotece Avahi występuje podatność polegająca na osiągalnym asercie w funkcji avahi_dns_packet_append_record. Spreparowane pakiety DNS mogą doprowadzić do przerwania działania demona.
Oryginalny opis (angielski, źródło NVD)
Avahi is a system which facilitates service discovery on a local network via the mDNS/DNS-SD protocol suite. Prior to version 0.9-rc4, any unprivileged local user can crash avahi-daemon by sending a single D-Bus method call with conflicting publish flags. This issue has been patched in version 0.9-rc4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS