CVE-2026-115863
Beschrijving NL
ConnMan tot en met versie 2.0 heeft een stack-gebaseerde bufferoverloop via een DHCPv6-antwoordbericht. Dit gebeurt in de functie get_domains in gdhcp/client.c. Het kopieert een vast aantal bytes (NS_MAXDNAME, 1025) van een DHCPv6 DOMAIN_LIST-waarde (optie 24) naar een stackbuffer van 1026 bytes (dns_name), ongeacht de werkelijke lengte van de optie, en doorloopt vervolgens DNS-labels met een onbegrensde "c += jump + 1"-lus. Een bewerkt DHCPv6-antwoord met een DOMAIN_list-optie van >= 1025 niet-nul bytes zorgt ervoor dat het label de buffer verlaat en leest/schrijft '.' voorbij het einde in door de aanvaller gekozen stappen. Een on-link aanvaller kan dit zonder authenticatie activeren via een vervalste routeradvertentie (O=1) en een vervalst DHCPv6-antwoord dat overeenkomt met xid/CLIENTID met een lange DOMAIN_LIST. De impact is niet-geverifieerde on-link crash van connmand (draait als root). Dit werd geïntroduceerd in bb06c47.
Origineel (Engels) tonen
ConnMan through 2.0 has a stack-based buffer overflow via a DHCPv6 Reply message. This occurs in get_domains in gdhcp/client.c. It copies a fixed NS_MAXDNAME (1025) bytes from a DHCPv6 DOMAIN_LIST (option 24) value into a 1026-byte stack buffer dns_name regardless of the actual option length, then walks DNS labels with an unbounded "c += jump + 1" loop. A crafted DHCPv6 REPLY with a DOMAIN_LIST option of >= 1025 non-zero bytes makes the label walk leave the buffer and read/write '.' past its end in attacker-chosen strides. An on-link attacker can trigger this without authentication via a forged Router Advertisement (O=1) and a forged DHCPv6 REPLY matching xid/CLIENTID with a long DOMAIN_LIST. The impact is unauthenticated on-link crash of connmand (runs as root). This was introduced in bb06c47.