iperf3: Heap-Pufferüberlauf in der Entschlüsselung von RSA-Nachrichten

Zusammenfassung

iperf3-Versionen 3.20 und 3.21 enthalten einen Heap-Pufferüberlauf in decrypt_rsa_message(). Ein 256 Byte grosser RSA-Puffer wird mit einer vom Angreifer kontrollierten Ciphertext-Länge beschrieben, sodass ein nicht authentifizierter entfernter Client den Heap über ein übergrosses authtoken überlaufen lassen kann. Der CVE-Eintrag stuft die Schwachstelle als kritisch ein (CVSS 4.0: 9.2); für die Ausnutzung genügt Netzwerkzugriff auf einen iperf3-Server. Die Release-Notizen des Herstellers ordnen die CVE-IDs anders zu, weshalb die Zuordnung noch bestätigt werden muss.

Betroffen

• ESnet iperf3 3.20
• ESnet iperf3 3.21
• Distributionspakete basierend auf diesen Versionen (z. B. Debian-Pakete; Tracker für den genauen Build prüfen)

Behoben in

• iperf3 3.22 (Upstream-Release vom 2026-09-29)
• Amazon Linux führt 3.22 als behoben auf; Flatcar verlangt 3.22 oder neuer

Umgehung

• Kein offizieller Workaround des Herstellers; das Aktualisieren auf 3.22 ist die Massnahme.
• Übergangslösung (allgemeine Praxis): iperf3 im Server-Modus nicht betreiben, wenn nicht nötig, und TCP-Port 5201 aus unvertrauenswürdigen Netzen blockieren.
• Die Aktivierung der iperf3-Authentifizierung ist keine verifizierte Gegenmassnahme.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• Ein Drittanbieter-Tracker meldet, dass die CVE nicht im CISA KEV steht (nicht verifiziert). Der EPSS-Wert beträgt 0.0028 (niedrig).

Unsere Empfehlung

• iperf3 auf Servern, Containern, Appliances und Linux-Images inventarisieren und auf 3.22 oder neuer aktualisieren.
• Sicherstellen, dass kein iperf3-Server aus dem Internet oder unvertrauenswürdigen Netzen erreichbar ist; Port 5201 einschränken und iperf3 nicht als Dauerdienst betreiben.
• Den Debian-Tracker für den behobenen Build der eigenen Version prüfen.
• Das Aktualisieren auf 3.22 deckt beide umstrittenen IDs ab. Den Hersteller oder das CVE-Programm um Bestätigung der CVE-Zuordnung bitten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• ESnet iperf 3.22 release notes (vendor) github.com
• OSV: CVE-2026-101283 (Debian versions) osv.dev
• VulDB: CVE-2026-101283 (third-party analysis) vuldb.com
• Flatcar issue 2440 (distribution action) github.com
• Amazon Linux advisory ALAS2023-2026-3299 (fixed version) vulners.com
• Amazon Linux security advisories (ALAS2027) alas.aws.amazon.com
• Strix: CVE-2026-101283 (third-party KEV status) www.strix.ai
• OpenCVE: CVE-2026-101283 (CVE text) app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:58.