CVE-2026-22258
WysokieStreszczenie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na wyczerpanie pamięci przez spreparowany ruch DCERPC, co może doprowadzić do zabicia procesu. Problem dotyczy DCERPC przez UDP, a prawdopodobnie także przez TCP i SMB. Łatka jest dostępna w wersjach 8.0.3 i 7.0.14.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię silnika IDS/IPS, co prowadzi do utraty ochrony sieci i potencjalnego przerwania działania.
Rekomendacja
Zaktualizuj Suricatę do wersji 8.0.3 lub 7.0.14. Jeśli nie jest to możliwe, wyłącz parser DCERPC/UDP i ogranicz głębokość ponownego składania strumienia dla DCERPC/TCP i SMB.
Inne podatności w Suricata
Zobacz wszystkie- CVE-2026-22264Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 zawiera podatność polegającą na przepełnieniu liczby całkowitej bez znaku, co może prowadzić do użycia po zwolnieniu (use-after-free) w pamięci sterty podczas generowania nadmiernej liczby alertów dla pojedynczego pakietu. Problem został naprawiony w wersjach 8.0.3 i 7.0.14.
- CVE-2026-22260Wysokie
Suricata, silnik systemu wykrywania i zapobiegania włamaniom sieciowym, może ulec awarii z powodu przepełnienia stosu. Podatność dotyczy wersji od 8.0.0 do 8.0.2, a wersja 8.0.3 zawiera poprawkę.
- CVE-2026-22259Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na nadmierne zużycie pamięci podczas parsowania ruchu DNP3. Specjalnie spreparowany ruch może spowolnić proces i doprowadzić do wyczerpania pamięci, co może skutkować zabiciem procesu przez OOM killer.
- CVE-2017-15377Wysokie
W Suricata przed wersją 4.x istniała możliwość wywołania wielu zbędnych sprawdzeń zawartości spreparowanego ruchu sieciowego z powodu błędu w DetectEngineContentInspection. Silnik wyszukiwania nie zatrzymywał się, gdy nie znaleziono dopasowania, co prowadziło do przekroczenia limitu rekurencji inspekcji.
- CVE-2017-7177Wysokie
Suricata przed wersją 3.2.1 ma problem z ewakuacją defragmentacji IPv4 spowodowany brakiem sprawdzenia protokołu IP podczas dopasowywania fragmentów.
- CVE-2023-35853Krytyczne
W Suricata przed wersją 6.0.13, przeciwnik kontrolujący zewnętrzne źródło reguł Lua może być w stanie wykonać kod Lua. Problem ten został rozwiązany w wersji 6.0.13 poprzez wyłączenie Lua, chyba że opcja allow-rules jest ustawiona na true w sekcji konfiguracji bezpieczeństwa Lua.
- CVE-2015-8954Krytyczne
Funkcja MemcmpLowercase w Suricata przed wersją 2.0.6 niewłaściwie pomija pierwszy bajt podczas porównań, co może umożliwić zdalnym atakującym obejście funkcji zapobiegania włamaniom za pomocą spreparowanego żądania HTTP.
- CVE-2026-59674Wysokie
Podatność w pakiecie suricata dla openSUSE Tumbleweed umożliwia użytkownikowi suricata eskalację uprawnień do roota poprzez podążanie za dowiązaniem symbolicznym UNIX.
- CVE-2023-35852Wysokie
W Suricata przed wersją 6.0.13, złośliwy podmiot kontrolujący zewnętrzne źródło reguł może wykorzystać nazwę pliku zestawu danych do wywołania przejścia katalogu, co prowadzi do możliwości zapisu na lokalnym systemie plików. Problem ten został rozwiązany w wersji 6.0.13 poprzez wprowadzenie wymogu użycia opcji allow-absolute-filenames oraz allow-write w konfiguracji reguł zestawów danych.
Oryginalny opis (angielski, źródło NVD)
Suricata is a network IDS, IPS and NSM engine. Prior to versions 8.0.3 and 7.0.14, crafted DCERPC traffic can cause Suricata to expand a buffer w/o limits, leading to memory exhaustion and the process getting killed. While reported for DCERPC over UDP, it is believed that DCERPC over TCP and SMB are also vulnerable. DCERPC/TCP in the default configuration should not be vulnerable as the default stream depth is limited to 1MiB. Versions 8.0.3 and 7.0.14 contain a patch. Some workarounds are available. For DCERPC/UDP, disable the parser. For DCERPC/TCP, the `stream.reassembly.depth` setting will limit the amount of data that can be buffered. For DCERPC/SMB, the `stream.reassembly.depth` can be used as well, but is set to unlimited by default. Imposing a limit here may lead to loss of visibility in SMB.