CVE-2026-60109

WysokieCVSS 7.5

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

W Zeek przed wersją 8.0.9 wykryto podatność na dereferencję pustego wskaźnika w analizatorze protokołu Kerberos. Nieuwierzytelniony atakujący zdalnie może wysłać spreparowany pakiet KRB_ERROR z kodem błędu 25 (KDC_ERR_PREAUTH_REQUIRED) zawierający element PA-DATA z typem 2, 3, 11 lub 19, co powoduje crash sensora.

Ocena ryzyka

Atakujący może zdalnie i bez uwierzytelnienia spowodować awarię sensora Zeek, co prowadzi do przerwania monitorowania ruchu sieciowego i utraty widoczności w sieci. Wystarczy pojedynczy pakiet UDP lub TCP na port 88.

Rekomendacja

Należy niezwłocznie zaktualizować Zeek do wersji 8.0.9 lub nowszej. Jeśli aktualizacja nie jest możliwa, rozważ tymczasowe wyłączenie analizatora Kerberos lub filtrowanie ruchu na porcie 88.

Inne podatności w Zeek

CVE-2026-60108Wysokie
Podatność w analizatorze FTP Zeek przed wersją 8.0.9 pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie zakończenia procesu poprzez wysłanie spreparowanej sesji FTP negocjującej AUTH GSSAPI, a następnie dużej linii kontrolnej ADAT. Brak sprawdzania maksymalnej długości linii w komponencie NVT_Analyzer prowadzi do niekontrolowanego podwajania wewnętrznego bufora podczas dekodowania base64 tokena ADAT, co skutkuje odmową usługi sensora Zeek.

Oryginalny opis (angielski, źródło NVD)

Zeek before 8.0.9 contains a null pointer dereference vulnerability in its Kerberos protocol analyzer that allows unauthenticated remote attackers to crash the sensor by sending a crafted KRB_ERROR message with error-code 25 (KDC_ERR_PREAUTH_REQUIRED) containing a PA-DATA element with padata-type 2, 3, 11, or 19. Attackers can exploit a parser and analyzer state mismatch where proc_padata() dereferences an uninitialized pa_data_element field selected by the wrong parsing arm, triggering a crash via a single UDP or TCP packet to port 88 without any credentials or prior authentication.