Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Zephyr Project upozorňuje na kritickú zraniteľnosť
Zephyr Project upozorňuje na kritickú zraniteľnosť v operačnom systéme Zephyr [1], konkrétne v ceste HTTP servera na prechod na WebSocket. Výrobca v čase vydania oznámenia neuvádza vydanú opravenú verziu, opravy zdrojového kódu sú však dostupné v main vetve [2] a v backporte pre v4.3 [3].
Neautentizovanému vzdialenému útočníkovi je kvôli chybnému spracovaniu hlavičky Sec-WebSocket-Key umožnené vyvolať čítanie a zápis mimo hraníc pamäte zásobníka, vykonať útok DoS a potenciálne spustiť ľubovoľný kód [1].
Zraniteľnosť sa nachádza v produkte:
- Zephyr; >= 3.7.0, <= 4.3.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-5067 na cve.org, NVD
- CWE-170: Improper Null Termination na cwe.mitre.org
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 6. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 9. 6. 2026.