Snort 3 в продуктах Cisco содержит уязвимости, ведущие к отказу в обслуживании и выполнению команд

Уязвимости в движке обнаружения вторжений Snort 3 позволяют удалённо перезапускать его и выполнять команды на хосте с низкими привилегиями. Cisco опубликовала семь уведомлений об этих ошибках 21 октября 2026 года. Перезапуск движка означает отказ в обслуживании: проверка трафика на время прекращается. Затронуты Open Source Snort 3, Secure Firewall Threat Defense, Unified Threat Defense на Cisco IOS XE, Meraki MX, Cyber Vision, а также облачные CDFW и Secure Access.

Семь уведомлений Cisco об уязвимостях Snort 3

Крупнейшее уведомление описывает выпуск с усилением безопасности. Он закрывает несколько ошибок, найденных при внутренней проверке кода Snort 3, в том числе с применением моделей искусственного интеллекта. Разработчики сгруппировали находки по классам слабостей и выдали по одному идентификатору CVE (общий идентификатор уязвимостей) на класс. Поэтому номер CVE здесь обозначает группу дефектов, а не отдельную ошибку.

Максимальная оценка в выпуске - 9,0 из 10 по шкале CVSS (общая система оценки уязвимостей). Её получили запись данных за границами выделенного буфера и ошибка в вычислении размера. В тот же выпуск вошли слабости в управлении привилегиями и в расходе ресурсов, они оценены ниже. Конкретные условия эксплуатации Cisco не раскрывает: в уведомлении есть только класс ошибки, оценка и список продуктов.

Помимо выпуска с усилением безопасности, вышли ещё шесть уведомлений. Пять из них описывают сбои в работе движка, шестое - локальное выполнение команд. Удалённые атаки идут по сети, учётные данные не нужны, участие пользователя не требуется. Open Source Snort 2 эти дефекты не затрагивают: ветка снята с поддержки.

Перезапуск движка в декодерах протоколов

Уведомление о протоколе туннелирования GRE (generic routing encapsulation) описывает ошибку в обработке вложенных туннелей. Специально сформированный пакет вызывает перезапуск движка. На Secure Firewall Threat Defense нужен включённый Snort 3 и одна из стандартных политик обнаружения; подходит и пользовательская политика с правилом для произвольного UDP. Результат зависит от настроек: обход проверки трафика или отказ в обслуживании.

Уязвимость в декодере GTP (GPRS Tunneling Protocol, протокол передачи данных в мобильных сетях) приводит к бесконечному циклу. Достаточно одного фрагментированного пакета UDP с расширенными заголовками. Ещё два уведомления описывают разбор вложений SMTP MIME и обработку NetFlow, Teredo и файлов. В последнем случае движок не освобождает память и перезапускается при большом числе файлов. Во всех случаях движок перезапускается сам, вмешательство администратора не требуется.

Уровень угрозы у отказов в обслуживании - Medium по классификации Cisco, обходных мер нет. При этом в сводке уведомления о GTP обходные меры упомянуты, а раздел об обходных мерах их отрицает: это расхождение внутри документа.

Переполнение стека в распаковке VBA

Отдельное уведомление касается распаковки VBA (Visual Basic for Applications, язык макросов в документах Office). Неполная проверка диапазона при декомпрессии данных, которыми управляет отправитель, ведёт к переполнению стека и перезапуску движка. Атака идёт по сети, аутентификация и участие пользователя не нужны. Здесь обходная мера есть: распаковка VBA отключена по умолчанию, и до обновления её достаточно не включать.

Локальное выполнение команд через сокет управления

Уязвимость в канале управления Open Source Snort 3 позволяет пользователю с низкими привилегиями выполнять команды от имени процесса Snort 3. Сокет канала не требует аутентификации, поэтому достаточно локального доступа к машине. Кроме команд, атакующий получает чтение и запись памяти процесса. Уровень угрозы - High по классификации Cisco, то есть выше, чем у отказов в обслуживании.

Исправленная версия Open Source Snort 3 - 3.12.4.0, она закрывает все перечисленные ошибки. Для SMTP MIME в уведомлении указана и более ранняя сборка 3.10.1.0. Устройства Meraki MX, а также облачные CDFW и Secure Access обновлять вручную не нужно: пакет Snort 3 установлен автоматически 21 октября 2026 года.

Для Secure Firewall Threat Defense исправления вышли в версиях 7.0.10 для ветки 7.0 и более ранних, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 и 10.1.0. На Cisco IOS XE с Unified Threat Defense нужны 17.12.8, 17.15.6, 17.18.5, 26.1.2 или 26.2.1; проверить, включён ли UTD, позволяет команда show utd engine standard status. Cyber Vision закрывает выпуск 5.6.0, более старые версии переводят на поддерживаемую.

Cisco не знает о публичном раскрытии деталей и о реальных атаках с использованием этих ошибок. Публикация уведомлений означает доступность технических данных, а не эксплуатацию. Практический риск выше там, где перезапуск движка открывает короткое окно обхода проверки, и на хостах с Open Source Snort 3, где локальный пользователь получает команды от имени процесса.

Семь уведомлений Cisco об уязвимостях Snort 3

Перезапуск движка в декодерах протоколов

Переполнение стека в распаковке VBA

Локальное выполнение команд через сокет управления

Ссылки