CVE-2026-15812
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W podsystemie ACL w kronosnet (wersje <= 1.34) wykryto podatność. Gdy framework jest skonfigurowany do zarządzania dynamicznymi linkami bez szyfrowania, walidacja ufa identyfikatorowi linku z pakietów. Zdalny, nieuwierzytelniony atakujący może sfałszować identyfikator linku i ominąć ACL, wstrzykując dowolne pakiety do warstwy aplikacji.
Ocena ryzyka
Ryzyko uszkodzenia danych lub destabilizacji usług poprzez wstrzyknięcie nieautoryzowanych pakietów.
Rekomendacja
Zaktualizuj kronosnet do wersji nowszej niż 1.34 lub skonfiguruj szyfrowanie sieciowe.
Inne podatności w kronosnet
Zobacz wszystkie- CVE-2026-15811Średnie
W kronosnet (wersja <=1.34) framework nie czyści pamięci po zmianach konfiguracji kryptograficznej, pozostawiając klucze szyfrowania w pamięci. Lokalny atakujący może je odzyskać i odszyfrować komunikację klastra lub wstrzyknąć złośliwe pakiety.
- CVE-2026-15813Średnie
Podatność w silniku defragmentacji pakietów sieciowych w kronosnet (wersje <= 1.34). Kod składania pakietów nieprawidłowo sprawdza numery sekwencyjne fragmentów, co pozwala atakującemu na wysłanie zniekształconych pakietów. Może to prowadzić do dostępu poza zakresem pamięci lub uszkodzenia sterty, powodując awarię aplikacji lub niestabilność systemu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in the internal Access Control List (ACL) subsystem of kronosnet (Version affected: <= 1.34). When the framework is explicitly configured to manage dynamic links (accepting network traffic from any IP address) without network payload encryption, the validation architecture implicitly trusts the link ID provided within incoming data packets. A remote, unauthenticated attacker can exploit this lack of validation by spoofing a legitimate link ID inside crafted network frames. This allows the attacker to fully bypass the ACL framework and inject arbitrary data packets into the application layer, potentially leading to data corruption or service instabilities.