iperf3: Use-after-free im Watchdog-Timer des Servers, unauthentifizierter Fernzugriff
Zusammenfassung
Eine Use-after-free-Schwachstelle im iperf3-Server erlaubt einem entfernten, nicht authentifizierten Angreifer, den Heap-Speicher zu beschädigen. Der Watchdog-Timer des Servers gibt Testströme frei, ohne deren Worker-Threads zu stoppen, sodass ein blockierter Worker auf freigegebenen Speicher zugreifen kann. Der offizielle CVE-Eintrag beschreibt die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch, die Herstellerangaben ordnen jedoch eine Heap-Buffer-Overflow-Schwachstelle in iperf_auth.c dieser CVE-ID zu, weshalb der genaue Umfang noch nicht bestätigt ist.
Betroffen
- iperf3 3.21 (im CNA-Eintrag bestätigt)
- Ältere Versionen: Unbekannt, die Quellen widersprechen sich und der Hersteller hat dies nicht geklärt.
Behoben in
- iperf 3.22, veröffentlicht am 29.09.2026
- Distributionspakete: Beim Hersteller prüfen; openSUSE und SUSE listen Pakete auf Basis von 3.22.
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Bis zum Patch den Zugriff auf die iperf3-Serverports mit Firewall-Regeln auf berechtigte Hosts beschränken.
- iperf3-Server nicht auf internetexponierten Systemen betreiben.
- Den iperf3-Server stoppen, wenn er nicht benötigt wird.
Ausnutzung
- In den geprüften Quellen wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend.
Unsere Empfehlung
- Alle Systeme inventarisieren, auf denen iperf3 installiert ist, auch als Bibliothek (libiperf) oder innerhalb von Appliances.
- Auf iperf 3.22 oder das Distributionspaket mit der Korrektur aktualisieren.
- Den iperf3-Server deaktivieren, wo er nicht benötigt wird.
- Den Serverzugriff auf bekannte Management- oder Testnetze beschränken.
- Beim Hersteller (iperf@es.net) die Zuordnung der CVE-ID zur Heap-Buffer-Overflow- und zur Use-after-free-Beschreibung klären lassen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- esnet/iperf 3.22 release notes (NewReleases) newreleases.io
- iperf 3.22 release tag (GitHub) github.com
- VulDB CVE-2026-101276 vuldb.com
- Strix CVE-2026-101276 www.strix.ai
- OSV Debian CVE-2026-101276 osv.dev
- SUSE CVE-2026-101276 (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.