CVE-2026-33824

Double free w Windows IKE Extension umożliwia zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2026-04-14upd. 2026-04-17

Podatność typu double free w rozszerzeniu Windows IKE (Internet Key Exchange) pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu. Ze względu na brak wymagań dotyczących uwierzytelnienia i interakcji użytkownika stanowi poważne zagrożenie dla systemów sieciowych.

▸ Pokaż oryginał (EN)

Double free in Windows IKE Extension allows an unauthorized attacker to execute code over a network.

🤖 Analiza AI

Jak działa

Błąd klasy double free (CWE-415) polega na dwukrotnym zwolnieniu tego samego obszaru pamięci przez podatny komponent. Atakujący może wysłać specjalnie spreparowane pakiety sieciowe do usługi IKE Extension, wywołując uszkodzenie sterty (heap corruption). Pozwala to na przejęcie kontroli nad przepływem wykonania procesu i uruchomienie dowolnego kodu w kontekście podatnej usługi, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika.

Skutki

Nieuwierzytelniony atakujący sieciowy może zdalnie wykonać dowolny kod na podatnym systemie, co może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia poufnych danych lub zakłócenia jego dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33824). Dodatkowo zaleca się ograniczenie dostępu sieciowego do usług IKE (porty UDP 500 i 4500) wyłącznie do zaufanych hostów za pomocą reguł firewall, jako środek tymczasowy do czasu wdrożenia patcha.