CVE-2026-116744
CVE-2026-116744 · ntop nDPI through 6.0 Out-of-Bounds Read in SoftEther Dissector
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
ntop nDPI through 6.0 contains an out-of-bounds read vulnerability in dissect_softether_host_fqdn() in softether.c that compares host_name using the consumed byte count instead of data length. Remote attackers can send crafted short UDP datagrams on already-classified SoftEther flows, causing strncmp to read beyond the packet payload buffer.
CVSS 6.9 · Средний · EPSS 0,4%
- Опубликовано
- Обновлено
Стек: system
Затронутые продукты и версии
ndpi
- Версии
- ≥ 0, ≤ 6.0: Затронуто (custom)
Нет опубликованного исправления
ndpi Debian:12
- Версии
- 4.2-2
- 4.2-2.1
- 4.2-2.1~exp1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Debian:13
- Версии
- 4.2-2.1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Debian:14
- Версии
- 4.2-2.1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Ubuntu:16.04:LTS
- Версии
- 1.5.0-1
- 1.6-1
- 1.7.1~git20151130.6f3d5a7-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Ubuntu:18.04:LTS
- Версии
- 1.8-1
- 2.2-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Ubuntu:20.04:LTS
- Версии
- 2.6-4
- 2.6-5
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Ubuntu:22.04:LTS
- Версии
- 4.0-4
- 4.2-2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Ubuntu:24.04:LTS
- Версии
- 4.2-2
- 4.2-2.1
- 4.2-2.1build1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Ubuntu:26.10
- Версии
- 4.2-2.1build2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
ndpi Ubuntu:26.04:LTS
- Версии
- 4.2-2.1build1
- 4.2-2.1build2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
Первоисточники
- https://github.com/ntop/nDPI/pull/3298
- https://github.com/ntop/nDPI/commit/ca9d819151606377ac53305583fe819748c69be2
- https://github.com/ntop/nDPI
- https://github.com/ntop/nDPI/blob/6.0/src/lib/protocols/softether.c#L203
- https://hackmd.io/@haindpwn/ndpi-softether-host-fqdn-strncmp-oob-read
- https://github.com/ntop/nDPI/issues/3291
- https://www.vulncheck.com/advisories/ntop-ndpi-through-6.0-out-of-bounds-read-in-softether-dissector
- https://nvd.nist.gov/vuln/detail/CVE-2026-116744