CVE-2026-48682: FastNetMon 社区版 IPv4 头部 IHL 字段未验证导致越界读取 漏洞概述 FastNetMon 社区版在处理 IPv4 数据包时，存在一个越界读取漏洞。该漏洞源于对 IPv4 头部中 Internet Header Length (IHL) 字段的未验证使用。 漏洞类型: CVE-125 (Out-of-bounds Read), CWE-20 (Improper Input Validation) CVSS 评分: 7.5 (High) 触发条件: 攻击者发送一个 IHL 字段值大于实际 IPv4 头部长度的畸形数据包。 漏洞原理: FastNetMon 的解析器根据 IHL 字段的值（以 4 字节为单位）来计算并移动数据包指针，但未验证该指针是否超出了已验证的 20 字节最小 IPv4 头部边界。这导致解析器会读取到数据包缓冲区之后的内存数据。 影响范围 受影响软件: FastNetMon Community Edition <= 1.2.9 受影响组件: , lines 139-164 攻击向量: 远程 (sFlow / NetFlow / PCAP packet capture) 影响: - 信息泄露: 越界读取可能泄露相邻进程内存中的数据，如其他数据包、流记录、配置缓冲区或 TLS 会话材料。 - 服务拒绝: 类型混淆可能导致解析器产生错误的流记录，影响基于阈值的 DDoS 检测和缓解功能。 - 崩溃风险: 如果越界读取到未映射的内存页，可能导致 FastNetMon 进程崩溃。 修复方案 1. 识别版本 运行 或检查包管理器，确认是否运行 1.2.9 或更早版本。 2. 关注上游补丁 FastNetMon LTD 已收到通知。请密切关注其 GitHub 仓库和发布说明，等待明确修复此问题的新版本。 3. 补丁发布前的补偿性控制措施 限制输入源: 将 NetFlow / sFlow / IPFIX 收集器限制为仅接受来自已知路由器 IP 的数据。在防火墙上进行严格限制。 降低运行权限: 以非 root 用户身份运行 FastNetMon。社区版不需要 root 权限，只需 能力。这可以限制信息泄露的范围。 禁用原始数据包采样: 如果不需要，配置 sFlow 代理仅导出流记录，不导出原始数据包。 监控守护进程: 配置 systemd 的 ，以便在解析器崩溃时自动重启，减少检测离线时间。 4. 长期安全实践 在测试环境中使用 AddressSanitizer 编译 FastNetMon，并回放畸形 IPv4 头部样本，以检测此类漏洞。 将此类模糊测试纳入持续集成 (CI) 流程。 POC 代码 说明: 上述代码是修复后的正确逻辑。原始漏洞代码缺少对 的检查，导致在 IHL 值较大时， 会越界。