Podatności Avahi
3 znanych podatności CVE w Avahi, przetłumaczonych i ocenionych.
- CVE-2026-34933Średnie
Avahi, system do wykrywania usług w sieci lokalnej za pomocą mDNS/DNS-SD, przed wersją 0.9-rc4 jest podatny na atak DoS. Każdy nieuprzywilejowany użytkownik lokalny może wysłać pojedyncze wywołanie metody D-Bus z konfliktowymi flagami publikacji, powodując awarię avahi-daemon.
- CVE-2026-24401Średnie
Avahi w wersjach 0.9rc2 i starszych pozwala na zawieszenie avahi-daemon poprzez wysłanie nieoczekiwanej odpowiedzi mDNS zawierającej rekurencyjny rekord CNAME, w którym alias i nazwa kanoniczna wskazują tę samą domenę. Powoduje to nieograniczoną rekurencję w funkcji lookup_handle_cname i wyczerpanie stosu. Podatność dotyczy przeglądarek rekordów z ustawionym AVAHI_LOOKUP_USE_MULTICAST, w tym tworzonych przez resolvery używane przez nss-mdns.
- CVE-2025-59529Średnie
W Avahi w wersjach do 0.9-rc2 włącznie serwer protokołu simple ignoruje udokumentowany limit klientów i akceptuje nieograniczoną liczbę połączeń. Brak sprawdzania limitu CLIENTS_MAX powoduje, że nieuprzywilejowany lokalny użytkownik może wyczerpać pamięć i deskryptory plików demona, prowadząc do lokalnej odmowy usługi (DoS) dla mDNS/DNS-SD. W momencie publikacji brak jest znanych wersji z poprawką, ale dostępna jest propozycja poprawki w pull request 808 oraz pewne obejścia.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS