CVE-2026-78002
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
W rsyslog wykryto błąd polegający na przepełnieniu bufora sterty w funkcji `replace()` języka RainerScript, wywoływanym przez nieuwierzytelnionego zdalnego atakującego wysyłającego specjalnie spreparowane wiadomości syslog. Błąd wynika z nieprawidłowego obliczenia rozmiaru bufora podczas zamiany ciągów, co prowadzi do uszkodzenia pamięci i może skutkować odmową usługi (DoS).
Ocena ryzyka
Nieuwierzytelniony atakujący może spowodować awarię systemu, co prowadzi do przerw w działaniu usług i potencjalnej utraty danych.
Rekomendacja
Zaktualizuj rsyslog do wersji zawierającej poprawkę i ogranicz dostęp do usługi syslog tylko dla zaufanych źródeł.
Inne podatności w rsyslog
Zobacz wszystkie- CVE-2026-92709Wysokie
Rsyslog to szybki system przetwarzania logów. W wersjach od 1.15.0 do 8.2610.0 mechanizm dynaFile w omfile celowo pozwala szablonom generować elastyczne ścieżki wyjściowe. Wdrożenie staje się niebezpieczne, gdy szablon dynaFile używa wartości pochodzącej z niezaufanego wejścia jako komponentu ścieżki bez jawnego bezpiecznego przetwarzania; wyrenderowana ścieżka może wtedy wyjść poza zamierzony katalog logów. Nie ogranicza się to do pola HOSTNAME w RFC5424. W momencie publikacji brak publicznie dostępnych poprawek.
- CVE-2026-61548Wysokie
W systemie Rsyslog od wersji 7.5.4 do 8.2606.0 opcjonalny plugin mmpstrucdata w funkcji parseSD_PARAM przechowuje wartości parametrów RFC5424 w stałym buforze stosu pVal[32 * 1024] i wywołuje parsePARAM_VALUE bez podania rozmiaru docelowego. Zdalny, nieuwierzytelniony atakujący, którego spreparowana wiadomość RFC5424 trafi do akcji używającej mmpstrucdata, może podać parametr większy niż bufor, powodując kontrolowane przez atakującego przepełnienie stosu. Podatność jest naprawiona w wersji 8.2606.0.
- CVE-2026-55556Wysokie
W systemie Rsyslog od wersji 8.2110.0 do 8.2604.0 opcjonalny moduł imhttp w funkcji parse_auth_header przydziela zerobajtowy bufor sterty przez calloc(0, len), gdy wartość HTTP Basic Authorization przekracza stały bufor roboczy, a następnie przekazuje ten wskaźnik do apr_base64_decode. Nieuwierzytelniony zdalny atakujący może wysłać zbyt duże zakodowane poświadczenie do punktu końcowego imhttp skonfigurowanego dla Basic Authentication, powodując nadpisanie sąsiedniej pamięci sterty przed walidacją poświadczeń. Podatność jest naprawiona w wersji 8.2604.0.
- CVE-2026-19654Wysokie
Nieuwierzytelniony zdalny peer może doprowadzić do awarii rsyslogd z powodu błędu w opcjonalnym module imptcp. Specjalnie spreparowana sekwencja wejściowa podczas odzyskiwania po ramce o nadmiernym rozmiarze może spowodować nieprawidłową wewnętrzną długość wiadomości i zakończyć działanie rsyslogd. Nie stwierdzono wpływu na poufność, integralność, eskalację uprawnień ani wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in rsyslog. An unauthenticated remote attacker can trigger a heap buffer overflow in the RainerScript `replace()` function by sending specially crafted syslog messages. This vulnerability arises from an incorrect buffer size calculation during string replacement, causing memory corruption. Successful exploitation can lead to a denial of service (DoS) for the affected system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS