CVE-2026-37460
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Brak walidacji wejścia w funkcji rfapiRibBi2Ri() (rfapi_rib.c) w FRRouting (FRR) od wersji stable/10.0 do stable/10.6 umożliwia atakującym spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanej wiadomości BGP UPDATE.
Ocena ryzyka
Atakujący może zdalnie przerwać działanie routera FRR, powodując niedostępność usług sieciowych.
Rekomendacja
Zaktualizuj FRRouting do wersji stable/10.7 lub nowszej, która zawiera poprawkę walidacji wejścia.
Inne podatności w FRRouting
Zobacz wszystkie- CVE-2020-12831Niskie
W FRRouting (FRR) do wersji 7.3.1 włącznie, podczas korzystania z funkcji split-config, skrypt inicjalizacyjny tworzy pusty plik konfiguracyjny z domyślnymi uprawnieniami odczytu dla wszystkich użytkowników. Może to prowadzić do wycieku informacji poprzez narzędzia frr.in i frrcommon.sh.in.
- CVE-2026-37459Wysokie
W FRRouting (FRR) w wersjach od stable/10.0 do stable/10.6 występuje podatność polegająca na niedomiarze liczby całkowitej. Atakujący może wykorzystać spreparowaną wiadomość BGP UPDATE, aby spowodować odmowę usługi (DoS).
- CVE-2026-37457Wysokie
W bibliotece FRRouting (FRR) w wersji stable/10.0 wykryto podatność polegającą na zapisie poza dozwolonym zakresem (off-by-one) w funkcji bgp_flowspec_op_decode(). Atakujący może wykorzystać spreparowany komponent FlowSpec, aby doprowadzić do odmowy usługi (DoS).
- CVE-2023-3748Niskie
W FRRouting znaleziono lukę podczas analizy określonych wiadomości hello unicast babeld, które powinny być ignorowane. Problem ten może pozwolić atakującemu na wysłanie specjalnie skonstruowanych wiadomości hello, co prowadzi do nieskończonej pętli i powoduje odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
Missing input validation in the rfapiRibBi2Ri() function (rfapi_rib.c) of FRRouting (FRR) stable/10.0 to stable/10.6 allows attackers to cause a Denial of Service (DoS) via supplying a crafted BGP UPDATE message.