CVE-2026-8836 — PoC de desbordamiento de pila en lwIP SNMPv3

Exploit de prueba de concepto para CVE-2026-8836, un desbordamiento de búfer crítico basado en pila en el manejador USM SNMPv3 de lwIP.

Vulnerabilidad

• CVE: CVE-2026-8836
• CVSS: 9.8 Crítico
• Componente: snmp_parse_inbound_frame() en src/apps/snmp/snmp_msg.c
• Causa raíz: comprobación de límites comentada + parámetro de tamaño de búfer incorrecto en snmp_asn1_dec_raw()
• Búfer: msg_authentication_parameters[12] (SNMP_V3_MAX_AUTH_PARAM_LENGTH = 12)
• Afectados: lwIP <= 2.2.1 con LWIP_SNMP_V3 habilitado
• Solución: commit 0c957ec0

Artículo completo

https://www.hunt-benito.com/blog/lwip-snmpv3-stack-overflow-cve-2026-8836-critical-embedded-rce/

Uso

python exploit.py --target 192.168.1.100 --port 161 --overflow-size 256

Con payload personalizado

python exploit.py --target 192.168.1.100 --overflow-size 4096 --payload-file shellcode.bin

Múltiples paquetes

python exploit.py --target 192.168.1.100 --count 10 --delay 0.5

Cómo funciona

El exploit construye un mensaje SNMPv3 válido con una cadena OCTET STRING msgAuthenticationParameters de tamaño excesivo en los parámetros de seguridad USM. La longitud TLV se establece en un valor mayor que 12 bytes (el tamaño real del búfer), lo que evita la comprobación de límites interna porque el código vulnerable pasa tlv.value_len tanto como la longitud de lectura y como la longitud máxima del búfer.

Descargo de responsabilidad

Esta herramienta se proporciona únicamente para investigación de seguridad autorizada y fines educativos. El uso no autorizado contra sistemas que no posees o para los que no tienes permiso explícito de prueba es ilegal. Los autores no asumen ninguna responsabilidad y no son responsables de ningún uso indebido o daño causado por esta herramienta.