Vulnerabilidad en Zeek Uncontrolled Memory Consumption DoS via FTP Analyzer (CVE-2026-60108)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

09/07/2026

Última modificación:

24/10/2026

Descripción

Zeek anterior a la versión 8.0.9 contiene una vulnerabilidad de consumo de memoria incontrolado en el analizador FTP que permite a atacantes remotos no autenticados causar la terminación del proceso al enviar una sesión de control FTP manipulada que negocia AUTH GSSAPI seguida de una línea de control ADAT grande. Los atacantes pueden explotar la falta de una verificación de longitud máxima de línea del componente NVT_Analyzer, lo que hace que duplique continuamente su búfer interno sin límites durante la decodificación base64 de un token ADAT controlado por el atacante, lo que resulta en una denegación de servicio del sensor Zeek.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.70 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.70

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto