Šta se desilo

ESnet je 29. septembra 2026. objavio iperf3 3.22. Beleške izdanja potvrđuju ispravke prekoračenja bafera na heap memoriji u kodu za autentifikaciju i korišćenja već oslobođene memorije u serverskom kodu.

Koga pogađa

Prema zvaničnom CVE zapisu koji je objavio Anthropic kao organizacija zadužena za dodelu oznake, CVE-2026-101283 obuhvata iperf3 3.20 i 3.21. Za opisanu RSA grešku bitan je serverski režim sa podešenom autentifikacijom.

Pregled izvornog koda verzije 3.21 pokazuje da se obrada tokena poziva kada su podešeni serverski RSA ključ i spisak ovlašćenih korisnika. Obrada prethodi proveri korisničkog imena i lozinke: napadaču zato nisu potrebni validni kredencijali, ali mora da može da pristupi servisu.

Kako se zaštititi

  • Ažurirajte na iperf3 3.22 ili na paket za koji vaš distributer izričito potvrđuje da sadrži odgovarajuće ispravke.
  • Dok ne primenite ispravke, ograničite pristup testnim servisima na pouzdane izvore. Zaustavite nepotrebne javno dostupne instance.
  • Posle ažuriranja proverite verziju i ponovo pokrenite servis kako bi koristio ispravljeni program.
  • Pregledajte logove i neuobičajene prekide procesa. Njihovo odsustvo samo po sebi ne dokazuje da nije bilo pokušaja napada.

Tehnički detalji

CVE zapis opisuje prekoračenje bafera u funkciji decrypt_rsa_message() pri obradi prevelikog autentifikacionog tokena i navodi ispravku u 3.22. Objavljena ocena je CVSS 4.0: 9,2, kritično, sa vektorom CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. AT:P označava da postoje dodatni uslovi napada; ocena nije dokaz aktivne eksploatacije.

Postoji neslaganje izvora, provereno 1. oktobra 2026: ESnet beleške povezuju CVE-2026-101283 sa use-after-free greškom, a CVE-2026-101276 sa prekoračenjem bafera. Zvanični CVE zapisi ove opise povezuju obrnutim redosledom. Ovde su opis, ocena i verzije za CVE-2026-101283 preneti uz jasno pripisivanje CVE zapisu. Oba izvora potvrđuju ispravke u 3.22.

Pregledani primarni izvori ne potvrđuju aktivnu eksploataciju niti broj žrtava. Ne tvrdi se da je demonstrirano potpuno preuzimanje sistema.

Zašto je važno

Autentifikacija ne štiti od greške koja nastaje tokom obrade podataka pre provere identiteta. Mrežna dostupnost testnog servisa zato je važna za procenu prioriteta ažuriranja.

Preporuka Sajber Radara

Popišite iperf3 instance i prvo ažurirajte one dostupne iz nepouzdanih mreža. Neslaganje CVE opisa ne menja praktičan korak: primenite potvrđene ispravke i smanjite nepotrebnu izloženost servisa.