CVE-2026-51599
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w usłudze RTSP rutera MERCURY MIPC252W wynika z niewystarczającej walidacji danych wejściowych. Nieuwierzytelniony atakujący może wysłać żądanie RTSP z nagłówkiem Content-Length, ale bez treści, co powoduje, że parser przechodzi w stan oczekiwania na treść i połyka wszystkie kolejne dane na połączeniu, aż do timeoutu.
Ocena ryzyka
Atakujący może tymczasowo uniemożliwić korzystanie z pojedynczego połączenia TCP, co może prowadzić do zakłócenia działania usług sieciowych i potencjalnie do odmowy usługi (DoS) dla wybranych sesji.
Rekomendacja
Należy zaktualizować oprogramowanie rutera do najnowszej wersji, która zawiera poprawkę walidacji żądań RTSP. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do usługi RTSP tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
An insufficient input validation vulnerability in the RTSP service of MERCURY MIPC252W v1.0.5 Build 230306 Rel.79931n allows an unauthenticated remote attacker to render an individual TCP connection temporarily unusable via sending an RTSP request with a Content-Length header but no corresponding message body. The affected RTSP parser enters a body-waiting state instead of rejecting the malformed request, causing all subsequent data on the connection to be silently consumed as body content until a server-side timeout closes the connection.