CVE-2026-116259
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W libimobiledevice do wersji 1.4.0 funkcja afc_get_device_info_key w pliku src/afc.c (komponent Device Info Handler) zawiera błąd polegający na manipulacji argumentem Value prowadzącej do uszkodzenia pamięci. Atak wymaga lokalnego dostępu, a publiczny exploit został udostępniony. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Lokalny atakujący może wykorzystać podatność do uszkodzenia pamięci, co może prowadzić do awarii lub potencjalnego wykonania kodu w kontekście procesu. Ryzyko dotyczy hostów z zainstalowaną podatną biblioteką.
Rekomendacja
Restrict local access to trusted users and monitor for a vendor patch. Until a fix is available, consider limiting use of libimobiledevice or running it in an isolated environment.
Inne podatności w libimobiledevice
Zobacz wszystkie- CVE-2026-116262Średnie
W libimobiledevice do wersji 1.4.0 wykryto podatność w funkcji webinspector_receive_with_timeout w pliku src/webinspector.c w komponencie Web Inspector. Manipulacja prowadzi do przepełnienia bufora na stercie (heap-based buffer overflow), a atak można przeprowadzić zdalnie. Exploit jest publiczny i może być użyty; dostawca nie odpowiedział na zgłoszenie.
- CVE-2026-116261Niskie
Wykryto podatność bezpieczeństwa w bibliotece libimobiledevice do wersji 1.4.0. Dotyczy ona funkcji afc_file_open w pliku src/afc.c, w komponencie AFC File Handler. Manipulacja argumentem bytes prowadzi do odczytu poza granicami bufora (out-of-bounds read), a atak można zainicjować zdalnie.
- CVE-2026-116260Wysokie
Słabość w libimobiledevice do wersji 1.4.0 w funkcji service_receive pliku src/afc.c komponentu AFC Service. Manipulacja może prowadzić do podwójnego zwolnienia pamięci, a atak może być przeprowadzony zdalnie; exploit jest publicznie dostępny.
- CVE-2026-116258Średnie
W libimobiledevice do wersji 1.4.0 w pliku src/afc.c (komponent AFC) występuje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a publiczny exploit jest dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in libimobiledevice up to 1.4.0. This vulnerability affects the function afc_get_device_info_key of the file src/afc.c of the component Device Info Handler. Performing a manipulation of the argument Value results in memory corruption. The attack requires a local approach. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS