CVE-2026-8836 — lwIP SNMPv3 Stack Overflow PoC

Prova de conceito de exploração para CVE-2026-8836, um estouro de buffer crítico baseado em pilha no manipulador USM SNMPv3 do lwIP.

Vulnerabilidade

• CVE: CVE-2026-8836
• CVSS: 9.8 Crítico
• Componente: snmp_parse_inbound_frame() em src/apps/snmp/snmp_msg.c
• Causa raiz: Verificação de limite comentada + parâmetro de tamanho de buffer incorreto em snmp_asn1_dec_raw()
• Buffer: msg_authentication_parameters[12] (SNMP_V3_MAX_AUTH_PARAM_LENGTH = 12)
• Afetado: lwIP <= 2.2.1 com LWIP_SNMP_V3 habilitado
• Correção: commit 0c957ec0

Artigo Completo

https://www.hunt-benito.com/blog/lwip-snmpv3-stack-overflow-cve-2026-8836-critical-embedded-rce/

Uso

python exploit.py --target 192.168.1.100 --port 161 --overflow-size 256

Com payload personalizado

python exploit.py --target 192.168.1.100 --overflow-size 4096 --payload-file shellcode.bin

Múltiplos pacotes

python exploit.py --target 192.168.1.100 --count 10 --delay 0.5

Como Funciona

O exploit constrói uma mensagem SNMPv3 válida com uma OCTET STRING msgAuthenticationParameters superdimensionada nos parâmetros de segurança USM. O comprimento TLV é definido para um valor maior que 12 bytes (o tamanho real do buffer), o que contorna a verificação de limite interna porque o código vulnerável passa tlv.value_len tanto como o comprimento de leitura quanto o comprimento máximo do buffer.

Aviso Legal

Esta ferramenta é fornecida apenas para fins autorizados de pesquisa em segurança e educacionais. O uso não autorizado contra sistemas que você não possui ou não tem permissão explícita para testar é ilegal. Os autores não assumem nenhuma responsabilidade e não se responsabilizam por qualquer uso indevido ou dano causado por esta ferramenta.