BusyBox tftp-Client: Heap-Pufferüberlauf bei Blockgrössen-Fallback

Zusammenfassung

Eine Schwachstelle im TFTP-Client von BusyBox führt zu einem Heap-Pufferüberlauf, wenn der Client eine benutzerdefinierte kleine Blockgrösse anfordert und der Server mit einer Antwort in Standardgrösse antwortet. Der Client wechselt auf die Standard-Blockgrösse, ohne den reservierten Empfangspuffer anzupassen. Ein bösartiger TFTP-Server kann den Überlauf während einer Übertragung auslösen, was die Ausführung beliebigen Codes oder einen Absturz des Client-Prozesses ermöglichen kann. Voraussetzung ist, dass der Client mit einem vom Standard abweichenden Blockgrösse mit einem vom Angreifer kontrollierten Server verbindet.

Betroffen

• BusyBox tftp-Client (betroffene Versionen: Unbekannt.)
• Red Hat Enterprise Linux 6 (von Red Hat als betroffen aufgeführt)
• Red Hat Hardened Images (von Red Hat als betroffen aufgeführt)

Behoben in

Unbekannt. Es wurde kein veröffentlichter Fix oder Distributions-Update bestätigt.

Umgehung

• BusyBox tftp-Client nicht mit einer Blockgrösse unter 512 (Option -b) ausführen, auch nicht in Skripten oder Boot-Werkzeugen.
• TFTP-Client nur mit vertrauenswürdigen, bekannten Servern verwenden.
• TFTP von unsicheren Netzwerken fernhalten.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle ausgenutzt wird.
• Kein öffentlicher Proof of Concept gefunden.
• Kein Eintrag im CISA-KEV-Katalog gefunden; KEV-Status nicht verifiziert.

Unsere Empfehlung

• Prüfen, ob BusyBox tftp auf Systemen, eingebetteten Geräten, Containern oder Boot-Umgebungen vorhanden ist und ob es mit einer nicht standardmässigen Blockgrösse verwendet wird.
• TFTP-Nutzung auf vertrauenswürdige Server und lokale Netzwerke beschränken.
• Den Fix von Red Hat oder Ihrer BusyBox-Distribution einspielen, sobald er verfügbar ist.
• Noch laufende RHEL-6-Systeme ersetzen oder ausser Betrieb nehmen, da das Release abgekündigt ist.
• Das Red Hat Advisory und den Bugzilla-Eintrag auf fixe Paketversionen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE-2026-124737 access.redhat.com
• Red Hat Bugzilla 2571607 bugzilla.redhat.com
• BusyBox tftp.c (1_6_stable) git.busybox.net
• BusyBox mailing list: candidate fix www.mail-archive.com
• curl CVE-2019-5482 advisory (analogous case) curl.se

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:21.