IPBUF安全漏洞报告
English
CVE-2026-6536 CVSS 5.5 中危

CVE-2026-6536 Wireshark DLMS/COSEM协议无限循环漏洞

披露日期: 2026-04-30

漏洞信息

漏洞编号
CVE-2026-6536
漏洞类型
拒绝服务
CVSS评分
5.5 中危
攻击向量
本地 (AV:L)
认证要求
无需认证 (PR:N)
用户交互
需要交互 (UI:R)
影响产品
Wireshark

相关标签

拒绝服务WiresharkDLMS/COSEM无限循环本地攻击

漏洞概述

Wireshark网络分析工具在4.6.0至4.6.4版本中存在一个安全漏洞,主要涉及DLMS/COSEM协议解析组件。该漏洞源于解析器在处理畸形或特定的数据包字段时,未能正确建立退出条件,从而陷入无限循环。虽然攻击需要用户交互(如打开恶意文件),但一旦触发,将导致Wireshark应用程序挂起或消耗大量CPU资源,造成拒绝服务攻击,影响网络分析工作的正常进行。

技术细节

该漏洞位于Wireshark的DLMS/COSEM协议解析器(Dissector)模块中。DLMS/COSEM主要用于智能电表等设备的通信。漏洞的根本原因是在解析特定构造的协议数据单元时,代码逻辑中存在缺陷,导致循环条件永远无法满足。攻击者可以通过制作包含恶意DLMS/COSEM数据包的抓包文件(.pcap或.pcapng),诱导受害者使用受影响版本的Wireshark打开此文件。由于攻击向量为本地(AV:L)且需要用户交互(UI:R),攻击者通常需要通过钓鱼邮件或社会工程学手段分发恶意文件。一旦文件被加载,解析器进入死循环,占用核心CPU资源,导致应用程序界面冻结,必须强制终止进程,从而造成拒绝服务(DoS)。虽然CVSS评分中机密性和完整性未受影响,但可用性受到严重影响。

攻击链分析

STEP 1
构造恶意数据包
攻击者利用漏洞细节,构造包含特定触发字段的DLMS/COSEM协议数据包,并将其保存为.pcap抓包文件。
STEP 2
社会工程学投递
将恶意抓包文件通过邮件附件、文件分享网站等方式发送给目标用户,诱导其下载。
STEP 3
用户交互触发
目标用户在本地使用受影响版本的Wireshark打开该恶意抓包文件进行协议分析。
STEP 4
解析器死循环
Wireshark的DLMS/COSEM解析器在解析畸形数据时陷入无限循环,无法继续处理后续数据。
STEP 5
拒绝服务
Wireshark进程CPU占用率飙升至100%,应用程序界面无响应,必须强制关闭,造成拒绝服务。

PoC / 利用代码

⚠️ 仅供安全研究
以下代码仅用于安全研究和授权测试,未经授权使用属于违法行为。
PoC
import scapy.all as scapy from scapy.packet import Packet from scapy.fields import ByteField, IntField # Define a malformed DLMS/COSEM packet structure for testing # This is a generic PoC structure to simulate the trigger. # Actual trigger bytes may vary based on specific vulnerability disclosure. class MalformedDLMS(Packet): name = "Malformed DLMS" fields_desc = [ ByteField("tag", 0x00), IntField("length", 0xFFFFFFFF), # Abnormal length causing potential loop ByteField("data", 0x00) ] # Create the packet packet = MalformedDLMS(tag=0x01, length=0x7FFFFFFF, data=0x02) # Save to pcap file scapy.wrpcap("cve_2026_6536_poc.pcap", packet) print("PoC file generated: cve_2026_6536_poc.pcap") print("Open this file in Wireshark 4.6.0 - 4.6.4 to reproduce the infinite loop.")

影响范围

Wireshark 4.6.0
Wireshark 4.6.1
Wireshark 4.6.2
Wireshark 4.6.3
Wireshark 4.6.4

防御指南

临时缓解措施
在彻底修复前,用户可以在Wireshark的'Analyze -> Enabled Protocols'设置中,临时禁用DLMS/COSEM协议解析器,以防止打开恶意文件时触发漏洞。

参考链接

快速导航: 前沿安全 最新收录域名列表 最新威胁情报列表 最新网站排名列表 最新工具资源列表 最新CVE漏洞列表