CVE-2026-7829
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W UltraVNC repeater do wersji 1.8.2.2 występuje podatność na zapis poza dozwolonym obszarem po uwierzytelnieniu. W parserze reguł allow/deny, po skopiowaniu tokena do bufora o stałym rozmiarze, kod bezwarunkowo zapisuje znak NUL na pozycji len, nie sprawdzając, czy nie przekracza ona rozmiaru bufora. Uwierzytelniony administrator może zapisać regułę z tokenem o długości równej lub większej niż rozmiar bufora, co powoduje nadpisanie sąsiednich danych na stosie.
Ocena ryzyka
Atakujący, który uzyskał dane uwierzytelniające administratora (np. poprzez CVE-2026-7839 dotyczące domyślnego hasła), może wykorzystać tę podatność do wykonania kodu na hoście repeatera. Prowadzi to do pełnego przejęcia kontroli nad serwerem i potencjalnego rozprzestrzenienia ataku w sieci.
Rekomendacja
Należy natychmiast zaktualizować UltraVNC repeater do wersji nowszej niż 1.8.2.2, w której usunięto tę podatność. Do czasu aktualizacji należy zmienić domyślne hasło administratora i ograniczyć dostęp do panelu zarządzania tylko do zaufanych adresów IP.
Inne podatności w UltraVNC repeater
Zobacz wszystkie- CVE-2016-5673Wysokie
UltraVNC Repeater w wersjach przed 1300 nie ogranicza adresów IP docelowych ani portów TCP, co pozwala zdalnym atakującym uzyskać funkcjonalność otwartego proxy poprzez użycie podciągu :: pomiędzy adresem IP a numerem portu.
- CVE-2026-7840Krytyczne
UltraVNC repeater do wersji 1.8.2.2 zawiera globalne przepełnienie bufora w osadzonym serwerze administracyjnym HTTP. Funkcje wi_senderr() i wi_replyhdr() w pliku repeater/webgui/webutils.c zapisują dostarczony przez wywołującego URI żądania HTTP do stałego 1000-bajtowego globalnego bufora (hdrbuf) za pomocą niesprawdzonych wywołań sprintf. Bufor odbioru HTTP akceptuje URI o długości do około 150 KB (WI_RXBUFSIZE = 153600), więc nieuwierzytelniony atakujący, który może dotrzeć do portu HTTP repeatera (domyślnie TCP 80), może przepełnić hdrbuf o co najmniej 500 bajtów pojedynczym żądaniem HTTP zawierającym URI o długości 1500 bajtów lub więcej, uszkadzając sąsiednie zmienne globalne w segmencie .bss.
- CVE-2026-7839Krytyczne
UltraVNC repeater do wersji 1.8.2.2 inicjalizuje serwer administracyjny HTTP z zakodowanym na stałe domyślnym hasłem. Przy pierwszym uruchomieniu, gdy brakuje pliku settings2.txt, zapisywane jest hasło "adminadmi2" dla administratora. Uwierzytelnianie Basic-auth nie ma ograniczeń prędkości ani blokady konta.
- CVE-2026-44042Niskie
W UltraVNC repeater do wersji 1.8.2.2 wykryto błąd off-by-one w funkcji dekodującej Base64 używanej do uwierzytelniania HTTP Basic. Funkcja wi_uudecode() w pliku webutils.c:817 sprawdza długość wejścia za pomocą ścisłego porównania większości (>), zamiast większe lub równe (>=), co pozostawia potencjalną lukę. Obecnie ryzyko jest ograniczone do zapisu jednego bajtu na granicy 1024-bajtowego bufora stosu.
Oryginalny opis (angielski, źródło NVD)
UltraVNC repeater through 1.8.2.2 contains a post-authentication out-of-bounds write in the allow/deny rule parser. In repeater/webgui/settings.c:225-272, after strncpy_s copies a rule token into temp1[rule1] (25-byte destination) or temp2/temp3 (16-byte destination), the code unconditionally writes a NUL terminator at temp1[rule1][len] = 0 without clamping len to the destination size. When an authenticated administrator saves a rule with a token length equal to or greater than the destination size, the NUL byte is written one or more bytes past the end of the stack-allocated array, corrupting adjacent stack data. An attacker who has obtained admin credentials (including via CVE-2026-7839 default password) can trigger this to gain code execution on the repeater host.