CVE-2017-12896

Buffer over-read w parserze ISAKMP narzędzia tcpdump

CVSS 9.8v3.1pub. 2017-09-14upd. 2026-05-13

Podatność typu buffer over-read w parserze ISAKMP narzędzia tcpdump (wersje przed 4.9.2) pozwala na odczyt danych spoza przydzielonego bufora. Oceniona jako krytyczna (CVSS 9.8), może być wywołana zdalnie bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

The ISAKMP parser in tcpdump before 4.9.2 has a buffer over-read in print-isakmp.c:isakmp_rfc3948_print().

🤖 Analiza AI

Jak działa

Błąd znajduje się w funkcji isakmp_rfc3948_print() w pliku print-isakmp.c, odpowiedzialnej za przetwarzanie pakietów ISAKMP (protokół wymiany kluczy używany w VPN/IPsec). Podczas parsowania odpowiednio spreparowanego pakietu sieciowego program odczytuje dane poza granicami przydzielonego bufora (buffer over-read, CWE-125). Atakujący może wywołać podatność poprzez przesłanie złośliwego pakietu do systemu, na którym uruchomiony jest tcpdump nasłuchujący ruch sieciowy.

Skutki

Atakujący może doprowadzić do ujawnienia poufnych danych z pamięci procesu lub potencjalnie spowodować awarię aplikacji (crash). Ze względu na ocenę CVSS 9.8 nie można wykluczyć dalej idących konsekwencji dla integralności i dostępności systemu.

Mitygacja

Należy zaktualizować tcpdump do wersji 4.9.2 lub nowszej. Dla systemów Debian Linux dostępna jest poprawka opisana w DSA-3971. Dla systemów Red Hat Enterprise Linux należy zastosować pakiety wskazane w erracie RHEA-2018:0705. Jako środek tymczasowy warto ograniczyć uruchamianie tcpdump do zaufanych środowisk i minimalizować ekspozycję na niepewny ruch sieciowy.