CVE-2026-8836 — lwIP SNMPv3 スタックオーバーフロー PoC

lwIPのSNMPv3 USMハンドラにおける重大なスタックベースのバッファオーバーフローであるCVE-2026-8836の概念実証エクスプロイト。

脆弱性

• CVE: CVE-2026-8836
• CVSS: 9.8 緊急
• コンポーネント: snmp_parse_inbound_frame() (src/apps/snmp/snmp_msg.c内)
• 根本原因: snmp_asn1_dec_raw() 内のコメントアウトされた境界チェックと誤ったバッファサイズパラメータ
• バッファ: msg_authentication_parameters[12] (SNMP_V3_MAX_AUTH_PARAM_LENGTH = 12)
• 影響を受けるバージョン: LWIP_SNMP_V3 が有効な lwIP <= 2.2.1
• 修正: commit 0c957ec0

詳細記事

https://www.hunt-benito.com/blog/lwip-snmpv3-stack-overflow-cve-2026-8836-critical-embedded-rce/

使用方法

python exploit.py --target 192.168.1.100 --port 161 --overflow-size 256

カスタムペイロードを使用する場合

python exploit.py --target 192.168.1.100 --overflow-size 4096 --payload-file shellcode.bin

複数パケットの場合

python exploit.py --target 192.168.1.100 --count 10 --delay 0.5

動作の仕組み

このエクスプロイトは、USMセキュリティパラメータ内にサイズ超過の msgAuthenticationParameters OCTET STRING を持つ有効なSNMPv3メッセージを構築します。TLV長は12バイト（実際のバッファサイズ）よりも大きな値に設定されており、脆弱なコードが tlv.value_len を読み取り長さ と バッファ最大長の両方として渡すため、内部の境界チェックをバイパスします。

免責事項

このツールは、許可されたセキュリティ研究および教育目的のみに提供されます。自分が所有していない、または明示的なテスト許可を得ていないシステムに対する不正使用は違法です。著者は一切の責任を負わず、このツールの誤用や損害についての責任を負いません。