CVE-2026-116258
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W libimobiledevice do wersji 1.4.0 w pliku src/afc.c (komponent AFC) występuje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a publiczny exploit jest dostępny. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać przepełnienie bufora na stercie, co może prowadzić do awarii lub potencjalnego wykonania kodu. Ryzyko dotyczy systemów komunikujących się z niezaufanymi urządzeniami lub usługami.
Rekomendacja
Ogranicz ekspozycję usług korzystających z libimobiledevice i monitoruj dostępność poprawki. Do czasu wydania poprawki rozważ uruchamianie w izolowanym środowisku i filtrowanie ruchu.
Inne podatności w libimobiledevice
Zobacz wszystkie- CVE-2026-116262Średnie
W libimobiledevice do wersji 1.4.0 wykryto podatność w funkcji webinspector_receive_with_timeout w pliku src/webinspector.c w komponencie Web Inspector. Manipulacja prowadzi do przepełnienia bufora na stercie (heap-based buffer overflow), a atak można przeprowadzić zdalnie. Exploit jest publiczny i może być użyty; dostawca nie odpowiedział na zgłoszenie.
- CVE-2026-116261Niskie
Wykryto podatność bezpieczeństwa w bibliotece libimobiledevice do wersji 1.4.0. Dotyczy ona funkcji afc_file_open w pliku src/afc.c, w komponencie AFC File Handler. Manipulacja argumentem bytes prowadzi do odczytu poza granicami bufora (out-of-bounds read), a atak można zainicjować zdalnie.
- CVE-2026-116260Wysokie
Słabość w libimobiledevice do wersji 1.4.0 w funkcji service_receive pliku src/afc.c komponentu AFC Service. Manipulacja może prowadzić do podwójnego zwolnienia pamięci, a atak może być przeprowadzony zdalnie; exploit jest publicznie dostępny.
- CVE-2026-116259Średnie
W libimobiledevice do wersji 1.4.0 funkcja afc_get_device_info_key w pliku src/afc.c (komponent Device Info Handler) zawiera błąd polegający na manipulacji argumentem Value prowadzącej do uszkodzenia pamięci. Atak wymaga lokalnego dostępu, a publiczny exploit został udostępniony. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in libimobiledevice up to 1.4.0. This affects an unknown part of the file src/afc.c of the component AFC. Such manipulation leads to heap-based buffer overflow. The attack can be executed remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS