CVE-2026-45751
ŚrednieCVSS 5.9Streszczenie
Suricata to sieciowy system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. W wersjach przed 7.0.16 i 8.0.5 pomocnik bufora inspekcji Suricata może pozostawić wskaźnik inspekcji odwołujący się do zwolnionej pamięci po tym, jak łańcuchowa transformacja spowodowała realokację bufora bazowego. Problem występuje podczas przetwarzania określonego ruchu sieciowego i wymaga konkretnej, ale nie złośliwej reguły.
Ocena ryzyka
Może wystąpić awaria Suricata z powodu odwołania do zwolnionej pamięci, co prowadzi do odmowy usługi i przerwania monitorowania sieci.
Rekomendacja
Należy zaktualizować Suricata do wersji 7.0.16 lub 8.0.5. Jako obejście należy unikać reguł łączących transformację `dotprefix` po innej transformacji.
Inne podatności w Suricata
Zobacz wszystkie- CVE-2026-45770Wysokie
Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.5 reguła Lua rejestrująca zbyt wiele zmiennych przepływu może uszkodzić stan detekcji Lua i obejść ograniczony sandbox Lua. Wymaga to załadowania podatnego skryptu lub reguły Lua.
- CVE-2026-45769Wysokie
Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. Przed wersjami 7.0.16 i 8.0.5 stan parsera IKEv2 mógł rosnąć bez ograniczeń podczas przechowywania transformacji klienta. Powtarzany spreparowany ruch UDP może powodować nadmierne zużycie pamięci przez Suricatę.
- CVE-2026-45768Wysokie
Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.5 stan transakcji LDAP mógł przechowywać nieograniczoną liczbę odpowiedzi. Ponieważ LDAP może być przetwarzany przez UDP, spreparowany ruch może powodować nadmierne zużycie pamięci przez Suricatę.
- CVE-2026-45767Średnie
Suricata, silnik IDS/IPS i monitoringu bezpieczeństwa sieci, w wersjach przed 7.0.16 i 8.0.5 pozwala złośliwej regule potencjalnie nadpisać dowolny plik w systemie plików podczas wczytywania lub przeładowania reguł. Wersje 7.0.16 i 8.0.5 naprawiają ten problem. Dostępne są obejścia: wstępne przetwarzanie reguł load+save w celu zablokowania bezwzględnych nazw plików, użycie obniżania uprawnień Suricaty oraz konfiguracja landlock w suricata.yaml.
- CVE-2026-45766Wysokie
W Suricata przed wersjami 7.0.16 i 8.0.5 struktury stanu parsera NFS nie były wystarczająco ograniczone. Spreparowany ruch NFS może powodować nadmierne zużycie pamięci przez Suricatę, co może prowadzić do odmowy usługi.
- CVE-2026-45765Wysokie
W Suricata przed wersjami 7.0.16 i 8.0.5 mechanizm reassembly DNP3 mógł buforować dane bez wystarczających ograniczeń na poziomie parsera. Spreparowany ruch DNP3 może powodować nadmierne zużycie pamięci przez Suricatę, co może prowadzić do odmowy usługi.
- CVE-2026-45762Wysokie
W Suricata przed wersjami 7.0.16 i 8.0.5 wyszukiwanie trackera defragmentacji IP nie weryfikowało, czy istniejący tracker używa tej samej rodziny adresów IP co przetwarzany pakiet. W wyniku spreparowanego ruchu fragmentowanego IPv4/IPv6 fragment IPv6 mógł zostać powiązany z trackerem defragmentacji IPv4, co może prowadzić do zdalnie wywołanego crashu i odmowy usługi.
- CVE-2026-45761Niskie
Suricata w wersjach przed 7.0.16 i 8.0.5 zawiera błąd przepełnienia bufora sterty podczas ładowania sygnatur. Spreparowana reguła używająca składni ramek z mieszaną wielkością liter może wywołać przepełnienie podczas parsowania i ładowania reguł.
- CVE-2026-45759Wysokie
W Suricata przed wersjami 7.0.16 i 8.0.5 podczas przetwarzania treści odpowiedzi HTTP mogło dochodzić do wielokrotnego, kosztownego parsowania dużych nagłówków Content-Disposition. Spreparowany ruch HTTP może powodować nadmierne zużycie CPU i odmowę usługi.
- CVE-2026-45752Średnie
Suricata to sieciowy system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. W wersjach od 8.0.0 do 8.0.5, gdy pewne transformacje detekcji są łączone w łańcuch, potok transformacji dekompresji może odczytywać z bufora inspekcji po jego realokacji i zwolnieniu. Problem występuje podczas przetwarzania ruchu sieciowego, ale wymaga złośliwej reguły, ponieważ Suricata ulegnie awarii niezależnie od ruchu.
Oryginalny opis (angielski, źródło NVD)
Suricata is a network Intrusion Detection System, Intrusion Prevention System and Network Security Monitoring engine. Prior to versions 7.0.16 and 8.0.5, Suricata's inspection-buffer helper could leave an inspection pointer referencing freed memory after a chained transform caused the backing buffer to be reallocated. The issue is reached during a specific network traffic processing, and requires a specific but not malicious rule. Versions 7.0.16 and 8.0.5 contain a fix. As a workaround, avoid rules that chain `dotprefix` transform after another one.