CVE-2026-66369
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Parser GOOSE zawiera błąd typu off-by-one w obsłudze granic bufora, który może zostać wywołany przez pojedynczą nieuwierzytelnioną ramkę warstwy 2 w magistrali procesowej. Podczas przetwarzania określonych pól wiadomości GOOSE parser nieprawidłowo przesuwa wewnętrzny wskaźnik bufora, co prowadzi do odczytu poza stertą. Powoduje to niezawodne zakończenie procesu subskrybenta i odmowę usługi.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię procesu subskrybenta GOOSE, co prowadzi do przerwania komunikacji w systemach automatyki energetycznej i potencjalnie do zakłóceń w dostawie energii.
Rekomendacja
Zainstaluj aktualizację dostarczoną przez producenta systemu automatyki energetycznej, która usuwa błąd off-by-one w parserze GOOSE.
Inne podatności w GOOSE parser
Oryginalny opis (angielski, źródło NVD)
The GOOSE parser contains an off-by-one boundary-handling flaw that can be triggered by a single unauthenticated Layer-2 multicast frame on the process bus. When specific GOOSE message fields are processed, the parser advances its internal buffer position incorrectly, resulting in a heap out-of-bounds read. On affected platforms, this condition reliably terminates the subscriber process and causes a denial-of-service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS