NoMachine: Remote Code Execution durch Heap-Overflow in der mDNS-Verarbeitung
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in der Verarbeitung von mDNS-Resource-Records bei NoMachine erlaubt einem Angreifer im selben Netzwerksegment, Code im Kontext des Dienstkontos auszuführen. Eine Authentifizierung ist nicht erforderlich, der Angreifer muss sich jedoch im selben LAN oder in derselben Broadcast-Domäne befinden. Die Angaben im CVE-Eintrag und bei ZDI zur Auswirkung weichen voneinander ab, weshalb mindestens eine Denial-of-Service-Wirkung angenommen werden muss.
Betroffen
- NoMachine 9.8.2_1 (im CVE-Eintrag aufgeführt)
- Vollständiger betroffener Bereich: Unbekannt.
Behoben in
- NoMachine 10.1.7
- NoMachine 9.9.6
- NoMachine 8.27.1
- Bestätigung dieses spezifischen Fixes durch den Hersteller: Nicht verifiziert.
Umgehung
- Kein Workaround des Herstellers gefunden.
- UDP 5353 (mDNS) auf die Netzwerksegmente beschränken, die diesen Dienst benötigen.
- NoMachine-Hosts von Gäste-, Besucher- und IoT-Netzwerken fernhalten.
- Beim Hersteller prüfen, ob mDNS in der Konfiguration deaktiviert werden kann.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Nicht in der CISA-KEV-Liste enthalten.
- CISA SSVC: Exploitation none, nicht automatisierbar.
- Kein öffentlicher PoC bestätigt.
Unsere Empfehlung
- Alle NoMachine-Server und -Clients inventarisieren, einschliesslich Version 9.8.2_1.
- Auf 10.1.7, 9.9.6 oder 8.27.1 (bzw. die neueste Version) im jeweiligen Zweig aktualisieren.
- UDP 5353 und den Webdienst-Port TCP 4443 auf benötigte Hosts beschränken.
- CVE-2026-114549 (ZDI-26-786) gleichzeitig patchen und prüfen, ob TCP 4443 aus dem Internet erreichbar ist.
- NoMachine-Hosts auf ungewöhnliche Aktivitäten des Dienstkontos überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
do4choo/CVE-2026-92208_remote_mDNS_overflow
Quellen der Recherche
- ZDI-26-710 advisory www.zerodayinitiative.com
- NoMachine knowledge base (customers) www.nomachine.com
- NoMachine news www.nomachine.com
- ZDI-26-786 advisory (CVE-2026-114549) www.zerodayinitiative.com
- OpenCVE CVE-2026-92208 app.opencve.io
- Strix CVE-2026-92208 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.