CVE-2026-71217
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W iperf3 stwierdzono wadę polegającą na braku właściwej walidacji danych wejściowych. Zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowany JSON na kanale kontrolnym z nadmiernie dużymi parametrami numerycznymi, takimi jak `parallel` i `len`, które nie są poprawnie walidowane przez serwer. Może to prowadzić do nadmiernego tworzenia strumieni i wątków oraz dużych alokacji buforów, powodując wyczerpanie zasobów i w efekcie odmowę usługi (DoS) na serwerze iperf3.
Ocena ryzyka
Ryzyko obejmuje przerwanie działania usługi i wyczerpanie zasobów serwera, co może prowadzić do niedostępności aplikacji dla użytkowników.
Rekomendacja
Zaleca się zaktualizowanie iperf3 do wersji z poprawką oraz wdrożenie ograniczeń na poziomie sieci, aby blokować podejrzane żądania.
Inne podatności w iperf3
Zobacz wszystkie- CVE-2026-101283Krytyczne
iperf3 w wersjach 3.20–3.21 (esnet/iperf) ma przepełnienie bufora sterty przed autoryzacją w funkcji decrypt_rsa_message(): 256-bajtowy bufor RSA jest odczytywany przez BIO_read z długością szyfrogramu kontrolowaną przez atakującego (guard tylko ostrzega), więc nieuwierzytelniony klient może przepełnić stertę przez zbyt duży authtoken; naprawione w wersji 3.22.
- CVE-2026-101276Krytyczne
iperf3 w wersji 3.21 (esnet/iperf) zawiera zdalną, nieuwierzytelnioną podatność typu use-after-free na stercie: serwerowy watchdog per-test (server_timer_proc()) zwalnia strumienie bez anulowania/dołączania ich wątków roboczych, więc zablokowany wątek roboczy dereferencuje zwolniony iperf_stream; naprawione w wersji 3.22.
- CVE-2026-102253Wysokie
iperf3 w wersjach przed 3.22 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym wprowadzić wątek odbioru UDP serwera w nieodwracalną nieskończoną pętlę poprzez wysłanie pojedynczej spreparowanej wiadomości parametrów kanału sterowania, a następnie jednego 16-bajtowego datagramu UDP. Atakujący mogą trwale przypiąć dotknięty wątek odbioru na poziomie około 100% użycia CPU, czyniąc serwer bezużytecznym do momentu wymuszonego zabicia za pomocą SIGKILL, ponieważ proces nie reaguje na normalne zamknięcie kanału sterowania.
- CVE-2026-71218Średnie
W iperf3 znaleziono błąd. Zdalny nieuwierzytelniony atakujący może wykorzystać podatność w funkcji JSON_read(), która akceptuje kontrolowaną przez peera długość wiadomości i alokuje pamięć bez górnego limitu. Pozwala to na wywołanie nadmiernego zużycia pamięci, prowadząc do Denial of Service (DoS) przez wyczerpanie pamięci, poważne spowolnienie lub zakończenie działania usługi iperf3.
- CVE-2023-38403Wysokie
W wersjach iperf3 przed 3.14 występuje podatność, która pozwala na wywołanie przepełnienia całkowitego oraz uszkodzenie sterty przez odpowiednio skonstruowane pole długości.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in iperf3. A remote attacker can exploit this vulnerability by sending crafted control-channel JSON with oversized numeric parameters, such as `parallel` and `len`, which are not properly validated by the server. This improper input validation can lead to excessive stream and thread creation, as well as large buffer allocations, causing resource exhaustion. Consequently, this can result in a Denial of Service (DoS) on the affected iperf3 server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS