„`html
Zusammenfassung
Die Schwachstelle CVE-2026-60109 betrifft Zeek-Versionen vor 8.0.9 und ermöglicht es unauthentifizierten Remote-Angreifern, einen Zeek-Sensor durch eine Null-Pointer-Dereference im Kerberos-Protokoll-Analyzer zum Absturz zu bringen. Ein einzelnes, speziell präpariertes UDP- oder TCP-Paket auf Port 88 reicht aus, um die Verfügbarkeit des Systems zu gefährden.
Betroffene Systeme
Folgende Versionen sind betroffen:
- Zeek vor Version 8.0.9
Systeme mit aktiven Kerberos-Netzwerk-Monitoring sind besonders gefährdet, da der Kerberos-Analyzer standardmäßig aktiv ist.
Technische Details
Die Vulnerability basiert auf einem State-Mismatch zwischen Parser und Analyzer im Kerberos-Modul. Der Angriffsvektor besteht darin, eine speziell manipulierte KRB_ERROR-Nachricht mit Fehlercode 25 (KDC_ERR_PREAUTH_REQUIRED) zu versenden. Diese Nachricht enthält ein PA-DATA-Element mit den padata-type-Werten 2, 3, 11 oder 19.
Die Schwachstelle liegt in der Funktion proc_padata(), die auf ein uninitialisiertes pa_data_element-Feld dereferenziert. Dies geschieht aufgrund eines fehlerhaften Parser-Arms, der zu einer Null-Pointer-Dereference fĂĽhrt. Da keine Authentifizierung erforderlich ist, kann der Angriff direkt ĂĽber das Netzwerk erfolgen.
Der kritische Fehler tritt auf Port 88 auf, dem Standard-Kerberos-Port, was einen einfachen Exploit ermöglicht.
Empfohlene Massnahmen
- Sofortige Aktualisierung: Zeek auf Version 8.0.9 oder höher upgraden
- Netzwerk-Segmentierung: Port 88 auf kritische Systeme beschränken
- Monitoring: Anomale KRB_ERROR-Nachrichten protokollieren und analysieren
- Firewall-Regeln: Verdächtige Kerberos-Traffic-Muster blockieren
- Sensor-Monitoring: Zeek-Prozess-Stabilität überwachen
Bewertung
CVSS-Score: 7.5 (High)
Die Schwachstelle wird mit „High“ bewertet. Trotz fehlender Authentifizierung ist die Auswirkung auf die VerfĂĽgbarkeit begrenzt. Ein Exploit fĂĽhrt zu Denial-of-Service des Sensors, nicht zu Datenoffenlegung oder CodeausfĂĽhrung. Ein Patch ist verfĂĽgbar.
„`