CVE-2026-8836 — lwIP SNMPv3 Stapelüberlauf-PoC

Proof-of-Concept-Exploit für CVE-2026-8836, einen kritischen stackbasierten Pufferüberlauf im SNMPv3-USM-Handler von lwIP.

Schwachstelle

• CVE: CVE-2026-8836
• CVSS: 9.8 Kritisch
• Komponente: snmp_parse_inbound_frame() in src/apps/snmp/snmp_msg.c
• Grundursache: Auskommentierte Grenzprüfung + falscher Puffergrößenparameter in snmp_asn1_dec_raw()
• Puffer: msg_authentication_parameters[12] (SNMP_V3_MAX_AUTH_PARAM_LENGTH = 12)
• Betroffen: lwIP <= 2.2.1 mit aktiviertem LWIP_SNMP_V3
• Behebung: Commit 0c957ec0

Vollständiger Artikel

https://www.hunt-benito.com/blog/lwip-snmpv3-stack-overflow-cve-2026-8836-critical-embedded-rce/

Verwendung

python exploit.py --target 192.168.1.100 --port 161 --overflow-size 256

Mit benutzerdefiniertem Payload

python exploit.py --target 192.168.1.100 --overflow-size 4096 --payload-file shellcode.bin

Mehrere Pakete

python exploit.py --target 192.168.1.100 --count 10 --delay 0.5

Funktionsweise

Der Exploit konstruiert eine gültige SNMPv3-Nachricht mit einem übermäßig großen msgAuthenticationParameters-OCTET-STRING in den USM-Sicherheitsparametern. Die TLV-Länge wird auf einen Wert größer als 12 Bytes (die tatsächliche Puffergröße) gesetzt, wodurch die interne Grenzprüfung umgangen wird, da der anfällige Code tlv.value_len sowohl als Leselänge als auch als maximale Pufferlänge übergibt.

Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitsforschung und zu Bildungszwecken bereitgestellt. Die unbefugte Verwendung gegen Systeme, die dir nicht gehören oder für die du keine ausdrückliche Erlaubnis zum Testen hast, ist illegal. Die Autoren übernehmen keine Haftung und sind nicht für Missbrauch oder Schäden verantwortlich, die durch dieses Tool verursacht werden.