CVE-2026-102253
WysokieCVSS 7.5Streszczenie
iperf3 w wersjach przed 3.22 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym wprowadzić wątek odbioru UDP serwera w nieodwracalną nieskończoną pętlę poprzez wysłanie pojedynczej spreparowanej wiadomości parametrów kanału sterowania, a następnie jednego 16-bajtowego datagramu UDP. Atakujący mogą trwale przypiąć dotknięty wątek odbioru na poziomie około 100% użycia CPU, czyniąc serwer bezużytecznym do momentu wymuszonego zabicia za pomocą SIGKILL, ponieważ proces nie reaguje na normalne zamknięcie kanału sterowania.
Ocena ryzyka
Atakujący może zdalnie i bez uwierzytelnienia wywołać trwałą odmowę usługi, uniemożliwiając korzystanie z serwera i wymagając interwencji administracyjnej. Może to prowadzić do przerw w działaniu krytycznych usług sieciowych.
Rekomendacja
Zaktualizować iperf3 do wersji 3.22 lub nowszej. Ograniczyć dostęp do serwera iperf3 do zaufanych sieci oraz monitorować użycie CPU w poszukiwaniu anomalii.
Inne podatności w iperf3
Zobacz wszystkie- CVE-2026-101283Krytyczne
iperf3 w wersjach 3.20–3.21 (esnet/iperf) ma przepełnienie bufora sterty przed autoryzacją w funkcji decrypt_rsa_message(): 256-bajtowy bufor RSA jest odczytywany przez BIO_read z długością szyfrogramu kontrolowaną przez atakującego (guard tylko ostrzega), więc nieuwierzytelniony klient może przepełnić stertę przez zbyt duży authtoken; naprawione w wersji 3.22.
- CVE-2026-101276Krytyczne
iperf3 w wersji 3.21 (esnet/iperf) zawiera zdalną, nieuwierzytelnioną podatność typu use-after-free na stercie: serwerowy watchdog per-test (server_timer_proc()) zwalnia strumienie bez anulowania/dołączania ich wątków roboczych, więc zablokowany wątek roboczy dereferencuje zwolniony iperf_stream; naprawione w wersji 3.22.
- CVE-2026-71218Średnie
W iperf3 znaleziono błąd. Zdalny nieuwierzytelniony atakujący może wykorzystać podatność w funkcji JSON_read(), która akceptuje kontrolowaną przez peera długość wiadomości i alokuje pamięć bez górnego limitu. Pozwala to na wywołanie nadmiernego zużycia pamięci, prowadząc do Denial of Service (DoS) przez wyczerpanie pamięci, poważne spowolnienie lub zakończenie działania usługi iperf3.
- CVE-2026-71217Wysokie
W iperf3 stwierdzono wadę polegającą na braku właściwej walidacji danych wejściowych. Zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowany JSON na kanale kontrolnym z nadmiernie dużymi parametrami numerycznymi, takimi jak `parallel` i `len`, które nie są poprawnie walidowane przez serwer. Może to prowadzić do nadmiernego tworzenia strumieni i wątków oraz dużych alokacji buforów, powodując wyczerpanie zasobów i w efekcie odmowę usługi (DoS) na serwerze iperf3.
- CVE-2023-38403Wysokie
W wersjach iperf3 przed 3.14 występuje podatność, która pozwala na wywołanie przepełnienia całkowitego oraz uszkodzenie sterty przez odpowiednio skonstruowane pole długości.
Oryginalny opis (angielski, źródło NVD)
iperf3 versions prior to 3.22 contains a denial of service vulnerability that allows unauthenticated remote attackers to crash-loop the server's UDP receive worker into an unrecoverable infinite loop by sending a single crafted control-channel parameter message followed by one 16-byte UDP datagram. Attackers can permanently pin the affected per-stream receive thread at approximately 100% CPU usage, rendering the server unusable until forcibly killed with SIGKILL, as the process does not respond to normal control-channel closure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS