libmikmod: Heap-Pufferüberlauf im OKT-Loader durch manipulierte Track-Anzahl
Zusammenfassung
libmikmod vor 3.3.14 enthält einen Integer-Überlauf in der Funktion OKT_doPBOD() des Oktalyzer-(OKT)-Loaders. Ein manipuliertes OKT-Modul, dessen SLEN-Chunk den 16-Bit-Wert der Track-Anzahl überlaufen lässt, führt zu Schreibzugriffen ausserhalb der zugewiesenen Track-Zeiger im Heap. Ein Angreifer kann damit eine Anwendung zum Absturz bringen oder möglicherweise Code ausführen, sofern ein Opfer die präparierte Datei in einer Anwendung mit libmikmod öffnet oder abspielt.
Betroffen
- sezero libmikmod Versionen 0 bis vor 3.3.14
- Distributionspakete verwenden eigene Versionsnummern; Tracker des jeweiligen Herstellers prüfen, z. B. Azure Linux 3 bis 3.3.11.1-14
Behoben in
- Upstream libmikmod 3.3.14 (Commit 097b69281fad6ba38a553569e6f55dbfdd71dc2a)
- SUSE: behoben in 3.3.14 (openSUSE-SU-2026:22192-1)
Umgehung
- Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden.
- Ohne Patch keine unbekannten OKT-Dateien in Anwendungen mit libmikmod öffnen.
Ausnutzung
- Nicht bekannt, dass es ausgenutzt wird (SUSE und ein weiterer Tracker).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.00146 (niedrig).
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Systeme und Anwendungen identifizieren, die libmikmod enthalten, einschliesslich eingebetteter Kopien in Spielen, Medienwerkzeugen und Legacy-Software.
- libmikmod auf 3.3.14 oder das vom Hersteller behobene Paket aktualisieren.
- Bis zur Behebung keine unbekannten Modul-Dateien in betroffenen Anwendungen öffnen.
- Hosts priorisieren, auf denen Benutzer oder Anwendungen externe Modul-Dateien öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-105839 CVELIST record (vulners) vulners.com
- VulnCheck advisory www.vulncheck.com
- libmikmod 3.3.14 NEWS github.com
- Upstream fix commit 097b692 github.com
- SUSE CVE record (vulners) vulners.com
- OSV Azure Linux advisory osv.dev
- SUSE security update (OffSeq radar) radar.offseq.com
- pkgsrc libmikmod pkgsrc.se
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:21.
Referenzen der NVD (5)
- https://github.com/sezero/mikmod
- https://github.com/sezero/mikmod/blob/libmikmod-3.3.13/libmikmod/loaders/load_okt.c#L286
- https://github.com/sezero/mikmod/blob/libmikmod-3.3.14/libmikmod/NEWS
- https://github.com/sezero/mikmod/commit/097b69281fad6ba38a553569e6f55dbfdd71dc2a
- https://www.vulncheck.com/advisories/libmikmod-before-3.3.14-heap-buffer-overflow-via-okt-loader-okt-dopbod
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.