CVE-2026-45747
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Suricata to silnik IDS/IPS i monitoringu bezpieczeństwa sieci. W wersjach przed 7.0.16 pomocnik informacji o certyfikatach TLS w Lua mógł odwoływać się do pustych pól certyfikatu, gdy skrypt Lua żądał informacji o certyfikacie dla ruchu TLS, w którym brakowało niektórych pól. Spreparowany ruch TLS przetwarzany przez wdrożenie używające podatnych skryptów Lua mógł spowodować awarię Suricaty i odmowę usługi.
Ocena ryzyka
Atakujący może wysłać spreparowany ruch TLS, powodując awarię Suricaty, co prowadzi do odmowy usługi i utraty monitoringu sieci.
Rekomendacja
Zaktualizuj Suricatę do wersji 7.0.16. Jako obejście unikaj skryptów Lua wywołujących funkcję TlsGetCertInfo na niezaufanym ruchu lub dostosuj skrypty do obsługi brakujących pól certyfikatu.
Inne podatności w Suricata
Zobacz wszystkie- CVE-2026-22264Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 zawiera podatność polegającą na przepełnieniu liczby całkowitej bez znaku, co może prowadzić do użycia po zwolnieniu (use-after-free) w pamięci sterty podczas generowania nadmiernej liczby alertów dla pojedynczego pakietu. Problem został naprawiony w wersjach 8.0.3 i 7.0.14.
- CVE-2026-22260Wysokie
Suricata, silnik systemu wykrywania i zapobiegania włamaniom sieciowym, może ulec awarii z powodu przepełnienia stosu. Podatność dotyczy wersji od 8.0.0 do 8.0.2, a wersja 8.0.3 zawiera poprawkę.
- CVE-2026-22259Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na nadmierne zużycie pamięci podczas parsowania ruchu DNP3. Specjalnie spreparowany ruch może spowolnić proces i doprowadzić do wyczerpania pamięci, co może skutkować zabiciem procesu przez OOM killer.
- CVE-2026-22258Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na wyczerpanie pamięci przez spreparowany ruch DCERPC, co może doprowadzić do zabicia procesu. Problem dotyczy DCERPC przez UDP, a prawdopodobnie także przez TCP i SMB. Łatka jest dostępna w wersjach 8.0.3 i 7.0.14.
- CVE-2017-15377Wysokie
W Suricata przed wersją 4.x istniała możliwość wywołania wielu zbędnych sprawdzeń zawartości spreparowanego ruchu sieciowego z powodu błędu w DetectEngineContentInspection. Silnik wyszukiwania nie zatrzymywał się, gdy nie znaleziono dopasowania, co prowadziło do przekroczenia limitu rekurencji inspekcji.
- CVE-2017-7177Wysokie
Suricata przed wersją 3.2.1 ma problem z ewakuacją defragmentacji IPv4 spowodowany brakiem sprawdzenia protokołu IP podczas dopasowywania fragmentów.
- CVE-2026-94084Krytyczne
Podatność use-after-free w Suricata przed wersją 8.0.7 występuje w mechanizmie Http2ThreadMultiBuf, gdy transakcja jest analizowana przez reguły używające http.response_header z transformacją i bez niej.
- CVE-2026-94083Krytyczne
W Suricata przed wersją 8.0.7 występuje pomyłka typu w DoH2, która może prowadzić do nieprawidłowego zwolnienia pamięci, ponieważ kod sprzątający dla stanu HTTP2 jest wykonywany mimo że faktyczny stan to HTTP1 (przy żądaniu DoH2 z przejściem z HTTP1 na HTTP2). Wymaga to włączenia app-layer.protocols.doh2, co jest domyślne w wersjach 8.x.
- CVE-2026-45764Krytyczne
Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. W wersjach przed 7.0.16 i 8.0.5 zmiana protokołu podczas przetwarzania ruchu HTTP/2 może prowadzić do pomylenia typów, powodując awarię Suricaty i odmowę usługi.
- CVE-2023-35853Krytyczne
W Suricata przed wersją 6.0.13, przeciwnik kontrolujący zewnętrzne źródło reguł Lua może być w stanie wykonać kod Lua. Problem ten został rozwiązany w wersji 6.0.13 poprzez wyłączenie Lua, chyba że opcja allow-rules jest ustawiona na true w sekcji konfiguracji bezpieczeństwa Lua.
Oryginalny opis (angielski, źródło NVD)
Suricata is a network Intrusion Detection System, Intrusion Prevention System and Network Security Monitoring engine. Prior to version 7.0.16, the Lua TLS certificate information helper could dereference NULL certificate fields when a Lua script requested certificate information for TLS traffic where some certificate fields were absent. Crafted TLS traffic processed by a deployment using affected Lua TLS scripting could crash Suricata, resulting in denial of service. Version 7.0.16 contains a fix. As a workaround, avoid Lua scripts that call TLS certificate information helpers on untrusted traffic (`TlsGetCertInfo` function), or update scripts to handle missing certificate fields where possible.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS