CVE-2026-48692 in Community Edition
Résumé
par VulDB • 27/05/2026
FastNetMon Community Edition jusqu'à la version 1.2.9 expose un serveur d'API gRPC sur le port 50052 sans mécanisme d'authentification. Le serveur est initialisé avec `grpc::InsecureServerCredentials()` (src/fastnetmon.cpp ligne 477) et un commentaire dans le code source reconnaît explicitement « Écouter sur l'adresse donnée sans aucun mécanisme d'authentification ». Aucune des méthodes RPC dans src/api.cpp (ExecuteBan, ExecuteUnBan, GetBanlist, GetTotalTrafficCounters, etc.) ne vérifie les identifiants. Les méthodes ExecuteBan et ExecuteUnBan déclenchent des actions critiques pour la sécurité : annonces de routes BGP qui peuvent blackholliser le trafic réseau, et exécution de scripts de notification externes via popen(). Un attaquant ayant un accès au réseau local peut bannir des adresses IP arbitraires (provoquant une déni de service pour le trafic légitime), débannir des attaques actives (désactivant l'atténuation DDoS) et déclencher l'exécution de scripts. Il n'y a également aucun contrôle d'accès basé sur les rôles (RBAC) séparant la surveillance en lecture seule des opérations administratives destructrices.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.