CVE-2026-8836 — PoC переполнения стека SNMPv3 в lwIP

Эксплойт уровня proof-of-concept для CVE-2026-8836 — критического переполнения буфера на основе стека в обработчике USM протокола SNMPv3 в lwIP.

Уязвимость

• CVE: CVE-2026-8836
• CVSS: 9.8 Критическая
• Компонент: snmp_parse_inbound_frame() в src/apps/snmp/snmp_msg.c
• Корневая причина: закомментированная проверка границ + неверный параметр размера буфера в snmp_asn1_dec_raw()
• Буфер: msg_authentication_parameters[12] (SNMP_V3_MAX_AUTH_PARAM_LENGTH = 12)
• Затронутые версии: lwIP <= 2.2.1 с включенным LWIP_SNMP_V3
• Исправление: коммит 0c957ec0

Полная статья

https://www.hunt-benito.com/blog/lwip-snmpv3-stack-overflow-cve-2026-8836-critical-embedded-rce/

Использование

python exploit.py --target 192.168.1.100 --port 161 --overflow-size 256

С пользовательской полезной нагрузкой

python exploit.py --target 192.168.1.100 --overflow-size 4096 --payload-file shellcode.bin

Несколько пакетов

python exploit.py --target 192.168.1.100 --count 10 --delay 0.5

Принцип работы

Эксплойт формирует корректное SNMPv3-сообщение со слишком большим значением OCTET STRING msgAuthenticationParameters в параметрах безопасности USM. Длина TLV устанавливается в значение больше 12 байт (фактический размер буфера), что обходит внутреннюю проверку границ, поскольку уязвимый код передаёт tlv.value_len одновременно и как длину чтения, и как максимальную длину буфера.

Отказ от ответственности

Этот инструмент предоставляется исключительно для авторизованных исследований в области безопасности и образовательных целей. Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения, незаконно. Авторы не несут никакой ответственности и не отвечают за любое неправомерное использование или ущерб, причинённый данным инструментом.