CVE-2026-13197
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W KUNBUS piControl w wersji 2.6.2 wykryto podatność CWE-362 (wyścig) w funkcjonalności zarządzania konfiguracją i obrazem procesu. Umożliwia ona lokalnemu uwierzytelnionemu atakującemu wywołanie use-after-free i nieprawidłowych dereferencji wskaźników na obiektach konfiguracji jądra, poprzez wysyłanie równoczesnych spreparowanych żądań przez urządzenie znakowe piControl. Prowadzi to do uszkodzenia pamięci jądra i odmowy usługi.
Ocena ryzyka
Lokalny atakujący z uwierzytelnieniem może doprowadzić do awarii systemu (odmowa usługi) lub potencjalnie do eskalacji uprawnień poprzez uszkodzenie pamięci jądra. Może to zakłócić działanie systemów przemysłowych wykorzystujących piControl.
Rekomendacja
Zaleca się aktualizację KUNBUS piControl do wersji, która zawiera poprawkę (jeśli dostępna). Ograniczenie dostępu do urządzenia znakowego piControl tylko dla zaufanych użytkowników może zmniejszyć ryzyko.
Oryginalny opis (angielski, źródło NVD)
Nozomi Networks Labs identified a CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') vulnerability in the configuration and process-image management functionality of KUNBUS piControl in version 2.6.2 that allows a local authenticated attacker to trigger use-after-free and invalid pointer dereferences on kernel configuration objects, resulting in kernel memory corruption and denial of service, by issuing concurrent crafted requests through the piControl character device.