CVE-2026-79980
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Klient DHCPv4 w Zephyr RTOS (subsys/net/lib/dhcpv4/dhcpv4.c) używał identyfikatora transakcji (xid) jako licznika zamiast losowej wartości dla każdej transakcji. Identyfikator był inicjowany raz przez sys_rand32_get() i zwiększany o jeden, a w wymianach RENEWING i REBINDING pozostawał niezmieniony lub przewidywalny. Ponieważ xid jest jedynym nieprzewidywalnym tokenem walidacji odpowiedzi, atakujący może przewidzieć lub poznać identyfikator i wysłać sfałszowaną odpowiedź DHCP, która zmienia bramę domyślną i serwery DNS.
Ocena ryzyka
Atakujący w tej samej sieci lub serwer/relay DHCP może przejąć kontrolę nad konfiguracją sieciową urządzenia, przekierowując ruch na własne adresy i tym samym umożliwiając podsłuch lub atak man-in-the-middle. Ryzyko dotyczy urządzeń z Zephyr RTOS działających jako klient DHCPv4.
Rekomendacja
Zaktualizuj Zephyr RTOS do wersji zawierającej poprawkę, która losuje nowy identyfikator transakcji przy każdym rozpoczęciu transakcji (SELECTING, RENEWING, REBINDING, INIT/INIT-REBOOT). Do czasu aktualizacji rozważ stosowanie statycznej konfiguracji IP lub segmentacji sieci w celu ograniczenia ekspozycji.
Powiązane podatności
- CVE-2026-121953Krytyczne
FreeRDP w wersjach przed 3.32.2 zawiera podatność use-after-free w dynamicznym kanale wirtualnym rdpgfx po stronie klienta. Zduplikowany kanał o nowym ChannelId nadpisuje pojedynczy slot callbacku listenera, który funkcja rdpgfx_on_close zwalnia bez wyczyszczenia. Złośliwy serwer RDP może otworzyć i zamknąć taki kanał, a następnie wysłać PDU na oryginalnym kanale, powodując awarię klienta lub potencjalne wykonanie kodu.
- CVE-2026-121952Krytyczne
FreeRDP w wersjach przed 3.32.2 ma podatność out-of-bounds write w proxy, ponieważ funkcja rdp_read_bitmap_cache_v2_capability_set odrzuca tylko wartości numCellCaches większe niż 5, podczas gdy tablica komórek bitmap cache v2 jest później odwoływana pod stałymi indeksami od 0 do 4. Klient łączący się z proxy może zadeklarować mniej niż pięć komórek cache w Confirm Active, powodując uszkodzenie sterty, wyciek danych sterty do backendu lub awarię.
- CVE-2026-122006Krytyczne
Gem activestorage w wersjach przed 8.1.4.1 dla Ruby on Rails, podczas przetwarzania załączników przez ImageMagick, pozwala na operacje odczytu i zapisu po stronie serwera (np. odczyt secret_key_base). Wynika to z faktu, że analizator ImageMagick uruchamia się przy załączaniu pliku, a brak polityki bezpieczeństwa ImageMagick blokującej niepożądane funkcje.
- CVE-2026-121640Krytyczne
Podatność typu Authentication Bypass przez powtórzenie przechwyconego żądania (capture-replay) w WatchGuard AuthPoint Gateway pozwala atakującemu, który zaobserwował legalne żądanie między komponentami AuthPoint Gateway, na jego powtórzenie i wykonanie nieautoryzowanych działań administracyjnych, w tym zakłócenie usług uwierzytelniania.
- CVE-2026-121639Krytyczne
Podatność typu Missing Authentication for Critical Function w WatchGuard AuthPoint Gateway pozwala zdalnemu nieuwierzytelnionemu atakującemu z dostępem sieciowym do hosta AuthPoint Gateway na zakłócenie usług uwierzytelniania i usunięcie lokalnej konfiguracji synchronizacji katalogów.
- CVE-2026-121638Krytyczne
Podatność typu Improper Certificate Validation w WatchGuard AuthPoint Gateway pozwala atakującemu znajdującemu się na ścieżce sieciowej na przechwycenie i modyfikację komunikacji między AuthPoint Gateway a lokalnymi dostawcami uwierzytelniania.
- CVE-2026-65555Krytyczne
Wtyczka Uncanny Toolkit for LearnDash (do wersji 3.8.2) zawiera błąd nieprawidłowego przypisania uprawnień, który umożliwia eskalację przywilejów. Użytkownik o niskich uprawnieniach może uzyskać dostęp do funkcji zastrzeżonych dla wyższych ról.
- CVE-2026-119481Krytyczne
Wtyczka JetFormBuilder (do wersji 3.6.7.1) zawiera błąd nieprawidłowego przypisania uprawnień umożliwiający eskalację przywilejów. Użytkownik z niskimi uprawnieniami może wykonywać akcje zarezerwowane dla wyższych ról.
- CVE-2026-114425Krytyczne
SEPPmail Secure Email Gateway przed wersją 15.1.1 ufa ścieżce pliku dostarczonej w zewnętrznych metadanych załącznika Large File Transfer. Nieuwierzytelniony zdalny nadawca może spowodować ujawnienie, przeniesienie lub usunięcie dostępnego pliku regularnego, gdy LFT jest włączone, a wiadomość trafi do podatnej ścieżki przetwarzania. Zweryfikowane procesy robocze działały jako root.
- CVE-2026-114424Krytyczne
SEPPmail Secure Email Gateway przed wersją 15.1.1 może wykonywać tekst zastępczy pochodzący od atakującego jako kod Perl w regułach zastępowania nadawcy lub odbiorcy. Nieuwierzytelniony zdalny nadawca może wykonać polecenia systemu operacyjnego w kontekście procesu roboczego przetwarzania poczty, gdy aktywna reguła używa danych pochodzących z wiadomości, a warunek wyszukiwania pasuje. Zweryfikowany kontekst procesu roboczego działał jako root.
Oryginalny opis (angielski, źródło NVD)
The DHCPv4 client in subsys/net/lib/dhcpv4/dhcpv4.c maintained its transaction identifier (iface->config.dhcpv4.xid) as a counter rather than as a per-transaction random value. It was seeded once with sys_rand32_get() in dhcpv4_start_internal(), incremented by one in dhcpv4_send_discover() and dhcpv4_send_decline(), and never changed by dhcpv4_send_request() — so every RENEWING and REBINDING exchange reused, unchanged, the identifier that had already appeared on the wire in the broadcast DHCPDISCOVER at boot, and where the identifier did move it moved predictably by one. RFC 2131 4.1 requires a single identifier per transaction, chosen so that clients are unlikely to collide. This identifier is the client's only unpredictable reply-validation token. net_dhcpv4_input() accepts a BOOTP reply on op, a matching xid, and a matching chaddr (the interface MAC, which is public); the UDP callback is registered with a wildcard remote address and port, and no server-identifier or source-address check is applied. An attacker who learns one identifier — for example any host on the same segment that sees the broadcast DHCPDISCOVER, or a DHCP server or relay on a network the device previously joined — therefore retains a valid token for the device's whole uptime, and can predict the identifiers of later exchanges, without having to observe the unicast renew traffic or race the legitimate server. A forged reply that passes those checks has effect regardless of client state, because dhcpv4_parse_options() applies its side effects before the state machine gate in dhcpv4_handle_reply(): the router option calls net_if_ipv4_set_gw() and the DNS option calls dns_resolve_reconfigure(). A single accepted datagram can thus repoint the device's default gateway and resolvers at attacker-controlled addresses, redirecting its traffic; during RENEWING or REBINDING a forged DHCPACK re-binds the lease with attacker-chosen parameters and a forged DHCPNAK removes the address and restarts configuration. The fix draws a fresh sys_rand32_get() value at each point where a transaction begins — entering SELECTING, RENEWING and REBINDING, and at the INIT/INIT-REBOOT entry taken when an interface with a lease goes down — while REQUESTING and DECLINE keep the identifier of the exchange they belong to, as RFC 2131 requires. As a side effect the client also no longer discards a slow server's offer after retransmitting a discover, and the initial-discover backoff now draws its own randomness instead of deriving it from the identifier.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS