CVE-2026-85506 в Debian: переполнение стека в FreeIPMI

CVE: CVE-2026-85506
Продукт: Debian
Дата публикации: 04.09.2026
Критичность: CRITICAL
CVSS: 9.8 (3.1)
EPSS: 0,39%; процентиль 32,06%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В компоненте ipmi-oem пакета FreeIPMI обнаружено переполнение стека при обработке данных Dell iDRAC. Ошибка позволяет удаленно выполнить код без аутентификации. В стабильных и тестовых ветках Debian исправление отсутствует, что требует аудита систем, использующих утилиту для взаимодействия с оборудованием Dell.

Основные характеристики​

Уязвимость позволяет атакующему удаленно выполнить произвольный код через переполнение стека в утилите ipmi-oem. Риск оценивается как критический, так как для атаки не требуется аутентификация или взаимодействие пользователя.

• Идентификатор: CVE-2026-85506.
  
• Тип ошибки: CWE-121 (Stack-based Buffer Overflow).
  
• CVSS 3.1: 9.8 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Это означает удаленный доступ без аутентификации с полным компрометированием конфиденциальности, целостности и доступности.
  
• EPSS: 0,39% (процентиль 32,06%). Вероятность эксплуатации в ближайшие 30 дня оценивается как низкая, но не нулевая.
  
• Статус в Debian: В ветках bookworm, trixie и forky статус «open» (не исправлено). В ветке sid исправление включено в версию 1.6.19-1.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет freeipmi в дистрибутивах Debian. Согласно данным Debian Security Tracker, следующие версии пакетов в соответствующих репозиториях содержат уязвимость:

• Debian 12 (bookworm): версия 1.6.10-1 (статус: open).
  
• Debian 13 (trixie): версия 1.6.15-1 (статус: open).
  
• Debian forky: версия 1.6.18-1 (статус: open).
  
• Debian unstable (sid): исправлено в версии 1.6.19-1 (статус: resolved).
  

Уязвимость присутствует во всех версиях FreeIPMI до 1.6.19 включительно. Компонент ipmi-oem используется для взаимодействия с OEM-расширениями IPMI, в частности, для получения информации о системе Dell iDRAC.

Причина уязвимости​

Причина уязвимости заключается в отсутствии проверки границ буфера в функции _get_dell_system_info_idrac_info, расположенной в файле ipmi-oem/ipmi-oem-dell.c. Эта функция вызывается при выполнении подкоманды idrac-info в рамках dell get-system-info.

Программа ожидает данные от удаленного контроллера iDRAC и копирует их в локальный буфер на стеке. Если длина полученных данных превышает размер выделенного буфера, происходит переполнение стека. Это позволяет атакующему перезаписать возвратный адрес или другие критические данные стека, что приводит к изменению потока выполнения программы.

Как работает атака​

Атакующий взаимодействует с системой, на которой запущен ipmi-oem, или с самим контроллером iDRAC, если утилита обращается к нему удаленно. Механизм атаки основан на отправке специально сформированного ответа от iDRAC, содержащего данные, превышающие ожидаемый размер.

Когда ipmi-oem обрабатывает этот ответ, функция _get_dell_system_info_idrac_info копирует данные в буфер на стеке без проверки длины. Переполнение стека приводит к перезаписи данных, которые находятся выше буфера в памяти. В результате атакующий может контролировать возвратный адрес функции, заставляя процесс выполнять произвольный код, предоставленный атакующим.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• На целевой системе установлен пакет freeipmi в уязвимой версии (до 1.6.19).
  
• Утилита ipmi-oem используется для взаимодействия с контроллером Dell iDRAC.
  
• Атакующий имеет возможность влиять на данные, возвращаемые iDRAC (например, через подмену контроллера или перехват трафика, если используется удаленный доступ).
  
• Процесс ipmi-oem выполняется с привилегиями, достаточными для выполнения полезной нагрузки (обычно root).
  

Возможный сценарий атаки​

Сценарий атаки предполагает, что атакующий находится в сети, где доступна система с установленным FreeIPMI. Атакующий инициирует выполнение команды ipmi-oem dell get-system-info idrac-info на целевой системе или манипулирует трафиком между системой и iDRAC.

В ответ на запрос iDRAC (или поддельный iDRAC) возвращает данные, длина которых превышает ожидаемый размер буфера. Программа ipmi-oem копирует эти данные в стек, вызывая переполнение. Атакующий использует это для перезаписи возвратного адреса и выполнения своего кода, что приводит к удаленному выполнению кода (RCE) с привилегиями процесса ipmi-oem.

Есть ли публичный эксплойт​

На момент публикации CVE-2026-85506 в каталоге CISA KEV подтвержденных фактов массовой эксплуатации в дикой природе не зафиксировано. Однако в списке ссылок CVE присутствует ссылка на обсуждение в списке рассылки oss-security, что указывает на публичное раскрытие деталей уязвимости.

Отсутствие сведений о массовой эксплуатации не означает, что эксплойт недоступен. Учитывая критический уровень CVSS и простоту механики переполнения стека, вероятность создания рабочего эксплойта высока. Рекомендуется считать уязвимость эксплуатируемой.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для этой уязвимости в официальных источниках не опубликованы. Общие точки контроля, которые могут указывать на попытку эксплуатации, включают:

• Необычные вызовы утилиты ipmi-oem с аномальными параметрами.
  
• Завершение процесса ipmi-oem с ошибкой сегментации (segfault) или другими кодами сбоя.
  
• Появление новых процессов, запущенных от имени пользователя, под которым работает ipmi-oem (часто root), с подозрительными аргументами.
  
• Аномальная сетевая активность, связанная с IPMI-портами (623/UDP).
  

Как обнаружить атаку​

Для обнаружения атаки рекомендуется использовать следующие методы:

• Мониторинг журналов системы (syslog, journalctl) на предмет ошибок в работе ipmi-oem.
  
• Использование инструментов мониторинга целостности файлов (AIDE, Tripwire) для отслеживания изменений в бинарных файлах FreeIPMI.
  
• Анализ сетевого трафика на предмет аномальных пакетов IPMI, особенно если используется удаленный доступ к iDRAC.
  
• Проверка процессов на наличие подозрительных дочерних процессов, запущенных от имени root.
  

Как проверить свою версию​

Для проверки версии установленного пакета FreeIPMI в Debian используйте следующие команды:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy freeipmi
dpkg-query -W -f='${Package} ${Version}\n' freeipmi

Если версия ниже 1.6.19, система уязвима.

Исправление​

Единственным надежным способом устранения уязвимости является обновление пакета freeipmi до версии 1.6.19 или выше. В ветке Debian unstable (sid) исправление уже доступно в версии 1.6.19-1.

Для пользователей стабильных версий Debian (bookworm, trixie) рекомендуется:

• Подписаться на обновления безопасности Debian Security Tracker.
  
• При выпуске исправления в соответствующем репозитории немедленно установить обновление.
  
• Временно ограничить использование утилиты ipmi-oem для взаимодействия с iDRAC, если это возможно.
  

Временные меры защиты​

Пока исправление не выпущено в стабильных ветках Debian, можно применить следующие временные меры:

• Ограничить доступ к системе, на которой установлен FreeIPMI, только для доверенных пользователей.
  
• Отключить использование подкоманды idrac-info в ipmi-oem, если это не критично для работы.
  
• Использовать сетевые фильтры для ограничения доступа к IPMI-портам (623/UDP) только с доверенных адресов.
  
• Запускать ipmi-oem от имени пользователя с минимальными привилегиями, если это позволяет конфигурация системы.
  

Как проверить устранение уязвимости​

После обновления пакета freeipmi до версии 1.6.19 или выше выполните следующие шаги для проверки исправления:

• Проверьте версию пакета:
  
  

  dpkg-query -W -f='${Package} ${Version}\n' freeipmi

  
  Убедитесь, что версия не ниже 1.6.19.
  
• Проведите функциональное тестирование утилиты ipmi-oem для подтверждения корректной работы после обновления.
  

Вывод​

CVE-2026-85506 представляет собой критическую уязвимость в FreeIPMI, позволяющую удаленно выполнить код. В дистрибутивах Debian исправление пока доступно только в ветке unstable. Администраторам систем, использующих FreeIPMI для взаимодействия с оборудованием Dell, необходимо срочно оценить риски и рассмотреть временные меры защиты до выпуска официального обновления в стабильных ветках.

Официальные источники​

1. NVD — CVE-2026-85506
   
2. Debian Security Tracker — CVE-2026-85506
   
3. FIRST EPSS — CVE-2026-85506
   

История обновлений статьи​

• 05.09.2026 — Опубликована первая версия материала.
  
• 06.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.
  
• 06.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.