CVE-2026-29781
Sliver: Authentifizierte Nil-Pointer-Dereferenzierung in Handlern
- Veröffentlicht
- 07.03.2026
- Aktualisiert
- 09.03.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 25.08.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 44,4 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Sliver ist ein Command-and-Control-Framework, das einen eigenen Wireguard-Netstack verwendet. In den Versionen 1.7.3 und früher besteht eine Schwachstelle in der Protobuf-Unmarshalling-Logik des Sliver-C2-Servers aufgrund eines systemischen Mangels an Nil-Pointer-Validierung. Durch das Extrahieren gültiger Implantat-Anmeldedaten und das Weglassen verschachtelter Felder in einer signierten Nachricht kann ein authentifizierter Akteur eine unbehandelte Laufzeit-Panic auslösen. Da die mTLS-, WireGuard- und DNS-Transportebenen nicht über die Panic-Recovery-Middleware verfügen, die im HTTP-Transport vorhanden ist, führt dies zu einer globalen Prozessbeendigung. Obwohl ein Zugriff nach der Authentifizierung (ein erbeutetes Implantat) erforderlich ist, wirkt dieser Fehler effektiv als „Kill-Switch" der Infrastruktur, der sofort alle aktiven Sitzungen in der gesamten Flotte trennt und einen manuellen Server-Neustart erfordert, um den Betrieb wiederherzustellen. Zum Zeitpunkt der Veröffentlichung gibt es keine öffentlich verfügbaren Patches.
Quellen
- CVE-2026-29781Exploit
Proof-of-Concept-Exploit für CVE-2026-29781, der erbeutete Sliver-Implant-Anmeldedaten ausnutzt, um über manipulierte mTLS-Pakete eine Nil-Pointer-Panic auszulösen und den C2-Server zum Absturz zu bringen.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.