CVE-2026-22259
WysokieStreszczenie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na nadmierne zużycie pamięci podczas parsowania ruchu DNP3. Specjalnie spreparowany ruch może spowolnić proces i doprowadzić do wyczerpania pamięci, co może skutkować zabiciem procesu przez OOM killer.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataku DoS na system IDS/IPS, powodując jego awarię lub znaczne spowolnienie, co osłabia ochronę sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację Suricaty do wersji 8.0.3 lub 7.0.14. Jeśli aktualizacja nie jest możliwa, należy wyłączyć parser DNP3 w pliku konfiguracyjnym suricata.yaml (parser jest domyślnie wyłączony).
Inne podatności w Suricata
Zobacz wszystkie- CVE-2026-22264Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 zawiera podatność polegającą na przepełnieniu liczby całkowitej bez znaku, co może prowadzić do użycia po zwolnieniu (use-after-free) w pamięci sterty podczas generowania nadmiernej liczby alertów dla pojedynczego pakietu. Problem został naprawiony w wersjach 8.0.3 i 7.0.14.
- CVE-2026-22260Wysokie
Suricata, silnik systemu wykrywania i zapobiegania włamaniom sieciowym, może ulec awarii z powodu przepełnienia stosu. Podatność dotyczy wersji od 8.0.0 do 8.0.2, a wersja 8.0.3 zawiera poprawkę.
- CVE-2026-22258Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na wyczerpanie pamięci przez spreparowany ruch DCERPC, co może doprowadzić do zabicia procesu. Problem dotyczy DCERPC przez UDP, a prawdopodobnie także przez TCP i SMB. Łatka jest dostępna w wersjach 8.0.3 i 7.0.14.
- CVE-2017-15377Wysokie
W Suricata przed wersją 4.x istniała możliwość wywołania wielu zbędnych sprawdzeń zawartości spreparowanego ruchu sieciowego z powodu błędu w DetectEngineContentInspection. Silnik wyszukiwania nie zatrzymywał się, gdy nie znaleziono dopasowania, co prowadziło do przekroczenia limitu rekurencji inspekcji.
- CVE-2017-7177Wysokie
Suricata przed wersją 3.2.1 ma problem z ewakuacją defragmentacji IPv4 spowodowany brakiem sprawdzenia protokołu IP podczas dopasowywania fragmentów.
- CVE-2023-35853Krytyczne
W Suricata przed wersją 6.0.13, przeciwnik kontrolujący zewnętrzne źródło reguł Lua może być w stanie wykonać kod Lua. Problem ten został rozwiązany w wersji 6.0.13 poprzez wyłączenie Lua, chyba że opcja allow-rules jest ustawiona na true w sekcji konfiguracji bezpieczeństwa Lua.
- CVE-2015-8954Krytyczne
Funkcja MemcmpLowercase w Suricata przed wersją 2.0.6 niewłaściwie pomija pierwszy bajt podczas porównań, co może umożliwić zdalnym atakującym obejście funkcji zapobiegania włamaniom za pomocą spreparowanego żądania HTTP.
- CVE-2026-59674Wysokie
Podatność w pakiecie suricata dla openSUSE Tumbleweed umożliwia użytkownikowi suricata eskalację uprawnień do roota poprzez podążanie za dowiązaniem symbolicznym UNIX.
- CVE-2023-35852Wysokie
W Suricata przed wersją 6.0.13, złośliwy podmiot kontrolujący zewnętrzne źródło reguł może wykorzystać nazwę pliku zestawu danych do wywołania przejścia katalogu, co prowadzi do możliwości zapisu na lokalnym systemie plików. Problem ten został rozwiązany w wersji 6.0.13 poprzez wprowadzenie wymogu użycia opcji allow-absolute-filenames oraz allow-write w konfiguracji reguł zestawów danych.
Oryginalny opis (angielski, źródło NVD)
Suricata is a network IDS, IPS and NSM engine. Prior to versions 8.0.3 and 7.0.14, specially crafted traffic can cause Suricata to consume large amounts of memory while parsing DNP3 traffic. This can lead to the process slowing down and running out of memory, potentially leading to it getting killed by the OOM killer. Versions 8.0.3 or 7.0.14 contain a patch. As a workaround, disable the DNP3 parser in the suricata yaml (disabled by default).