BusyBox udhcpc6: Stack-basierter Pufferüberlauf im DHCPv6-Client
Zusammenfassung
Der DHCPv6-Client udhcpc6 in BusyBox prüft die Grösse von Netzwerkoptionen, die ein Server sendet, nicht, bevor sie in den Speicher kopiert werden. Ein böswilliger DHCPv6-Server im selben lokalen Netzwerk kann eine präparierte Antwort senden und so einen stack-basierten Pufferüberlauf auslösen. Eine erfolgreiche Ausnutzung kann zur Ausführung beliebigen Codes, in der Regel mit Root-Rechten, oder zu einem Denial-of-Service-Absturz führen.
Betroffen
- BusyBox udhcpc6 DHCPv6-Client
- Red Hat Hardened Images (Standard: betroffen)
- Red Hat Enterprise Linux 6 (Standard: nicht betroffen)
- Betroffene BusyBox-Versionen: Unbekannt.
Behoben in
- Unbekannt. Im Red-Hat-Eintrag ist keine korrigierte Version aufgeführt.
- Red Hat gibt an, dass derzeit keine Massnahme seine Kriterien erfüllt; für CVE-2026-124741 ist kein Patch bestätigt.
Umgehung
- Den Client udhcpc6 dort meiden, wo Sicherheit kritisch ist.
- Die Exposition gegenüber nicht vertrauenswürdigen DHCPv6-Servern im lokalen Netzwerk einschränken.
- Betroffene Geräte von nicht vertrauenswürdigen VLANs und Gast-Netzwerken fernhalten.
- DHCPv6-Guard auf verwalteten Switches in Betracht ziehen.
Ausnutzung
- Der Angriff erfordert einen Angreifer im selben lokalen Netzwerksegment.
- Es sind keine Authentifizierung und keine Benutzerinteraktion nötig.
- Für diese CVE ist kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Geräte identifizieren, auf denen BusyBox mit aktiviertem udhcpc6 läuft, zum Beispiel Appliances, Router, IoT- oder OT-Geräte und individuelle eingebettete Linux-Images.
- Standard-Red-Hat-Enterprise-Linux ist nicht betroffen, da es NetworkManager verwendet.
- Betroffene Geräte von nicht vertrauenswürdigen Netzwerken isolieren und die Nutzung des DHCPv6-Clients wo möglich deaktivieren.
- Herstellerupdates einspielen, sobald eine bestätigte Korrektur veröffentlicht ist, und die Red-Hat-CVE-Seite überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-124741 access.redhat.com
- Red Hat Bugzilla 2571617 bugzilla.redhat.com
- OSV OESA-2026-2357 osv.dev
- OffSeq radar entry CVE-2026-124741 radar.offseq.com
- BusyBox upstream patch mailing list post (unconfirmed mapping) www.mail-archive.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.