🔴 CVE-2026-48686: Critical Luecke in Pavel-Odintsov Fastnetmon

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-48686 ist eine kritische Stack-basierte Buffer-Overflow-Schwachstelle in FastNetMon Community Edition bis Version 1.2.9. Sie existiert im BGP NLRI-Decoder und ermöglicht einem Angreifer mit Netzwerkzugriff die Ausführung beliebigen Codes mit den Rechten des betroffenen Prozesses.

Betroffene Systeme

FastNetMon Community Edition Version 1.2.9 und früher sind betroffen. Das Projekt wird von Pavel Odintsov entwickelt. Systeme, die BGP-Monitoring oder DDoS-Detection mit FastNetMon durchführen, sind exponiert, insbesondere wenn sie BGP-Traffic aus nicht vertrauenswürdigen Quellen verarbeiten.

Technische Details

Die Schwachstelle liegt in der Funktion decode_bgp_subnet_encoding_ipv4_raw() in src/bgp_protocol.cpp. Die Funktion liest den Wert prefix_bit_length direkt aus dem BGP-Paket (Zeile 99) ohne Validierung, dass dieser für IPv4-Präfixe nicht größer als 32 ist.

Der unkontrollierte Wert wird an how_much_bytes_we_need_for_storing_certain_subnet_mask() übergeben, die ceil(prefix_bit_length / 8) berechnet. Bei einem prefix_bit_length von 255 wird das Ergebnis 32 Bytes sein. Dieser Wert dient als Längenparmeter für einen memcpy()-Aufruf (Zeile 106), der in eine 4-Byte-Stack-Variable vom Typ uint32_t (prefix_ipv4) schreibt. Dies führt zu einem Stack-Buffer-Overflow von bis zu 28 Bytes.

Zusätzlich verursacht die Verwendung des unvalidierten prefix_bit_length in convert_cidr_to_binary_netmask_local_function_copy() undefined behavior: Ein Bit-Shift-Operand von (32 - cidr) mit cidr > 32 führt zu undefined behavior.

CVSS-Score: 9.8 (Kritisch) | Angriffsvektor: Netzwerk | Authentifizierung: Nicht erforderlich

Empfohlene Massnahmen

• Sofortige Isolierung betroffener FastNetMon-Systeme aus BGP-Peering mit nicht vertrauenswürdigen Quellen
• Implementierung von Input-Validierung: prefix_bit_length muss auf IPv4 auf Werte ≤ 32 beschränkt werden
• Monitoring auf verdächtige BGP-Pakete mit ungültigen Präfixlängen
• Patch-Verfügbarkeit vom Entwickler prüfen; ggf. zu alternativen BGP-Monitoring-Tools migrieren
• Firewall-Rules implementieren, um BGP-Traffic zu beschränken

Bewertung

Die Schwachstelle ist hochgradig kritisch. Eine Remote Code Execution ohne Authentifizierung ist über präparierte BGP-Pakete möglich. Die Fehlende Patch-Verfügbarkeit erhöht das Risiko