Średni Odebrany

CVE-2026-79980

opublikowano: 23.10.2026, 22:17

modyfikacja: 23.10.2026, 22:17

Ocena CVSS

5.6

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Klient DHCPv4 w subsys/net/lib/dhcpv4/dhcpv4.c zachował swój identyfikator transakcji (iface->config.dhcpv4.xid) jako licznik, a nie jako losową wartość dla każdej transakcji. Zostało ono raz zaszczepione sys_rand32_get() w dhcpv4_start_internal(), zwiększone o jeden w dhcpv4_send_discover() i dhcpv4_send_decline() i nigdy nie zmienione przez dhcpv4_send_request() — więc każda wymiana ODNOWIENIA i PONOWNEGO POWIĄZANIA ponownie wykorzystywała, niezmieniony, identyfikator, który już pojawił się na kablu w transmisji DHCPDISCOVER podczas rozruchu, a miejsce, w którym identyfikator się przesunął, zostało przesunięte w sposób przewidywalny o jeden. RFC 2131 4.1 wymaga jednego identyfikatora na transakcję, wybranego tak, aby klienci nie kolidowali ze sobą.

Ten identyfikator jest jedynym nieprzewidywalnym tokenem sprawdzającym odpowiedź klienta. net_dhcpv4_input() akceptuje odpowiedź BOOTP na op, pasujący xid i pasujący chaddr (adres MAC interfejsu, który jest publiczny); wywołanie zwrotne UDP jest rejestrowane ze zdalnym adresem i portem z symbolem wieloznacznym i nie jest stosowana żadna kontrola identyfikatora serwera ani adresu źródłowego. Osoba atakująca, która poznaje jeden identyfikator — na przykład dowolny host w tym samym segmencie, który widzi rozgłoszenie DHCPDISCOVER, serwer DHCP lub przekaźnik w sieci, do której urządzenie dołączyło wcześniej — zachowuje zatem ważny token przez cały czas pracy urządzenia i może przewidzieć identyfikatory późniejszych wymian bez konieczności obserwowania ruchu w ramach odnawiania emisji pojedynczej lub ścigania się z legalnym serwerem.

Sfałszowana odpowiedź, która pomyślnie przejdzie tę kontrolę, działa niezależnie od stanu klienta, ponieważ dhcpv4_parse_options() stosuje swoje skutki uboczne przed bramą maszyny stanów w dhcpv4_handle_reply(): opcja routera wywołuje funkcję net_if_ipv4_set_gw(), a opcja DNS wywołuje dns_resolve_reconfigure(). Pojedynczy zaakceptowany datagram może zatem skierować domyślną bramę urządzenia i programy rozpoznawania nazw na adresy kontrolowane przez atakującego, przekierowując jego ruch; podczas ODNOWIENIA lub PONOWNEGO POWIĄZANIA sfałszowany DHCPACK ponownie wiąże dzierżawę z parametrami wybranymi przez atakującego, a sfałszowany DHCPNAK usuwa adres i rozpoczyna konfigurację od nowa.

Poprawka pobiera nową wartość sys_rand32_get() w każdym momencie rozpoczęcia transakcji — wprowadzając WYBIERANIE, ODNOWIENIE i PONOWNE wiązanie oraz przy wpisie INIT/INIT-REBOOT wykonywanym, gdy interfejs z dzierżawą przestaje działać — podczas gdy REQUESTING i DECLINE zachowują identyfikator giełdy, do której należą, zgodnie z wymaganiami RFC 2131. Jako efekt uboczny klient nie odrzuca już oferty powolnego serwera po ponownym przesłaniu odkrycia, a wycofywanie początkowego wykrycia pobiera teraz własną losowość, zamiast wyprowadzać ją z identyfikatora.

The DHCPv4 client in subsys/net/lib/dhcpv4/dhcpv4.c maintained its transaction identifier (iface->config.dhcpv4.xid) as a counter rather than as a per-transaction random value. It was seeded once with sys_rand32_get() in dhcpv4_start_internal(), incremented by one in dhcpv4_send_discover() and dhcpv4_send_decline(), and never changed by dhcpv4_send_request() — so every RENEWING and REBINDING exchange reused, unchanged, the identifier that had already appeared on the wire in the broadcast DHCPDISCOVER at boot, and where the identifier did move it moved predictably by one. RFC 2131 4.1 requires a single identifier per transaction, chosen so that clients are unlikely to collide.

This identifier is the client's only unpredictable reply-validation token. net_dhcpv4_input() accepts a BOOTP reply on op, a matching xid, and a matching chaddr (the interface MAC, which is public); the UDP callback is registered with a wildcard remote address and port, and no server-identifier or source-address check is applied. An attacker who learns one identifier — for example any host on the same segment that sees the broadcast DHCPDISCOVER, or a DHCP server or relay on a network the device previously joined — therefore retains a valid token for the device's whole uptime, and can predict the identifiers of later exchanges, without having to observe the unicast renew traffic or race the legitimate server.

A forged reply that passes those checks has effect regardless of client state, because dhcpv4_parse_options() applies its side effects before the state machine gate in dhcpv4_handle_reply(): the router option calls net_if_ipv4_set_gw() and the DNS option calls dns_resolve_reconfigure(). A single accepted datagram can thus repoint the device's default gateway and resolvers at attacker-controlled addresses, redirecting its traffic; during RENEWING or REBINDING a forged DHCPACK re-binds the lease with attacker-chosen parameters and a forged DHCPNAK removes the address and restarts configuration.

The fix draws a fresh sys_rand32_get() value at each point where a transaction begins — entering SELECTING, RENEWING and REBINDING, and at the INIT/INIT-REBOOT entry taken when an interface with a lease goes down — while REQUESTING and DECLINE keep the identifier of the exchange they belong to, as RFC 2131 requires. As a side effect the client also no longer discards a slow server's offer after retransmitting a discover, and the initial-discover backoff now draws its own randomness instead of deriving it from the identifier.

>_ Słabości (CWE)

CWE-340

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve