CVE-2026-63448
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Podatność w Suricata dotyczy parsera SMB, który może przechowywać wymuszone transakcje na przepływach, gdzie ruch występuje tylko w jednym kierunku, co prowadzi do nieograniczonego stanu na przepływ i wyczerpania CPU oraz pamięci. Atakujący może wykorzystać to poprzez ciągły ruch SMB w jednym kierunku.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataku DoS poprzez wyczerpanie zasobów systemowych, co może zakłócić działanie monitorowania sieci.
Rekomendacja
Zaleca się aktualizację Suricata do wersji 8.0.6 lub 7.0.17, w których podatność została naprawiona.
Inne podatności w Suricata
Zobacz wszystkie- CVE-2026-22264Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 zawiera podatność polegającą na przepełnieniu liczby całkowitej bez znaku, co może prowadzić do użycia po zwolnieniu (use-after-free) w pamięci sterty podczas generowania nadmiernej liczby alertów dla pojedynczego pakietu. Problem został naprawiony w wersjach 8.0.3 i 7.0.14.
- CVE-2026-22260Wysokie
Suricata, silnik systemu wykrywania i zapobiegania włamaniom sieciowym, może ulec awarii z powodu przepełnienia stosu. Podatność dotyczy wersji od 8.0.0 do 8.0.2, a wersja 8.0.3 zawiera poprawkę.
- CVE-2026-22259Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na nadmierne zużycie pamięci podczas parsowania ruchu DNP3. Specjalnie spreparowany ruch może spowolnić proces i doprowadzić do wyczerpania pamięci, co może skutkować zabiciem procesu przez OOM killer.
- CVE-2026-22258Wysokie
Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na wyczerpanie pamięci przez spreparowany ruch DCERPC, co może doprowadzić do zabicia procesu. Problem dotyczy DCERPC przez UDP, a prawdopodobnie także przez TCP i SMB. Łatka jest dostępna w wersjach 8.0.3 i 7.0.14.
- CVE-2017-15377Wysokie
W Suricata przed wersją 4.x istniała możliwość wywołania wielu zbędnych sprawdzeń zawartości spreparowanego ruchu sieciowego z powodu błędu w DetectEngineContentInspection. Silnik wyszukiwania nie zatrzymywał się, gdy nie znaleziono dopasowania, co prowadziło do przekroczenia limitu rekurencji inspekcji.
- CVE-2017-7177Wysokie
Suricata przed wersją 3.2.1 ma problem z ewakuacją defragmentacji IPv4 spowodowany brakiem sprawdzenia protokołu IP podczas dopasowywania fragmentów.
- CVE-2026-94084Krytyczne
Podatność use-after-free w Suricata przed wersją 8.0.7 występuje w mechanizmie Http2ThreadMultiBuf, gdy transakcja jest analizowana przez reguły używające http.response_header z transformacją i bez niej.
- CVE-2026-94083Krytyczne
W Suricata przed wersją 8.0.7 występuje pomyłka typu w DoH2, która może prowadzić do nieprawidłowego zwolnienia pamięci, ponieważ kod sprzątający dla stanu HTTP2 jest wykonywany mimo że faktyczny stan to HTTP1 (przy żądaniu DoH2 z przejściem z HTTP1 na HTTP2). Wymaga to włączenia app-layer.protocols.doh2, co jest domyślne w wersjach 8.x.
- CVE-2026-45764Krytyczne
Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. W wersjach przed 7.0.16 i 8.0.5 zmiana protokołu podczas przetwarzania ruchu HTTP/2 może prowadzić do pomylenia typów, powodując awarię Suricaty i odmowę usługi.
- CVE-2023-35853Krytyczne
W Suricata przed wersją 6.0.13, przeciwnik kontrolujący zewnętrzne źródło reguł Lua może być w stanie wykonać kod Lua. Problem ten został rozwiązany w wersji 6.0.13 poprzez wyłączenie Lua, chyba że opcja allow-rules jest ustawiona na true w sekcji konfiguracji bezpieczeństwa Lua.
Oryginalny opis (angielski, źródło NVD)
Suricata is a network Intrusion Detection System, Intrusion Prevention System and Network Security Monitoring engine. Prior to 7.0.17 and 8.0.6, the SMB parser can retain force-completed transactions on flows where Suricata sees payload in only one direction, including async-oneside flows, because cleanup waits for inspection in the unseen direction. The transaction creation paths in rust/src/smb can exceed the intended SMB_MAX_TX bound, and cleanup repeatedly scans the growing list. Sustained one-directional SMB traffic can therefore cause unbounded per-flow state and CPU and memory exhaustion. This issue is fixed in versions 8.0.6 and 7.0.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS