Bug in Snort 3: quando il motore di inspection VBA diventa vettore di attacco

ZDI-26-788/CVE-2026-20218: buffer overflow nella decompressione VBA di Snort 3. ZDI segnala RCE senza autenticazione, Cisco classifica DoS. La verifica indipendente della gravità RCE non è possibile senza accesso al binario patchato.

Il 22 ottobre 2026 l'advisory ZDI-26-788 ha reso pubblica una vulnerabilità di elevata gravità secondo ZDI in Cisco Snort 3. Il bug, identificato come CVE-2026-20218, consente potenziale esecuzione remota di codice arbitrario attraverso un buffer overflow nello stack durante la decompressione di stream OLE contenenti dati VBA. La verifica indipendente della gravità RCE non è possibile senza accesso al binario patchato: Cisco classifica la stessa falla come DoS con restart del Detection Engine. L'exploit non richiede autenticazione, ma richiede che la feature di VBA decompression sia esplicitamente abilitata.

Punti chiave

CVE-2026-20218 colpisce Snort 3 nella decompressione VBA di file OLE: stack-based buffer overflow senza autenticazione
ZDI classifica RCE; Cisco classifica DoS con restart del Detection Engine: la stessa falla ha due valutazioni d'impatto
Il CVSS ufficiale su CVE.org è 5.8 MEDIUM; il listing ZDI riporta 8.1: la discrepanza numerica riflette la divergenza sostanziale
La vulnerabilità non è sfruttabile su installazioni default: richiede Snort 3 attivo e VBA decompression esplicitamente abilitata
Nessun PoC pubblico né exploit in-the-wild documentati; la timeline di disclosure coordinata è stata di 114 giorni

Il difetto: il parser VBA come superficie d'attacco

Il flaw risiede nella routine di decompressione dei dati VBA embedded in stream OLE. Secondo l'advisory ZDI, il codice non valida la lunghezza dei dati forniti dall'utente prima di copiarli in un buffer stack-based di dimensione fissa. La mancata verifica consente sovrascrittura controllata dello stack con conseguente alterazione del flusso di esecuzione.

Il bug si attiva quando Snort 3 incontra un file OLE su canali IMAP, SMTP, HTTP o POP3 e la decompressione VBA è configurata. L'engine di network inspection, progettato per analizzare passivamente il traffico, processa il contenuto malevolo durante l'operazione difensiva di estrazione macro.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Cisco Snort. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-788

La frattura RCE/DoS: due letture, una sola falla

La discrepanza tra ZDI e Cisco riguarda la natura stessa dell'impatto. Trend Micro Zero Day Initiative descrive la vulnerabilità come Remote Code Execution, con esecuzione di codice nel contesto dell'account di servizio Snort. Cisco, nello stesso record CVE e nel proprio advisory, parla di Denial of Service: "cause the Snort 3 Detection Engine to restart unexpectedly, resulting in a DoS condition".

I numeri riflettono questa tensione. Il listing ZDI tabulato assegna un punteggio di 8.1. Il record CVE.org riporta invece CVSS 5.8 MEDIUM con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L. La stringa conferma che il punteggio ufficiale è calcolato esclusivamente sulla disponibilità (A:L, bassa perdita di disponibilità), senza attribuire pesi a confidenzialità o integrità: una scelta che deriva direttamente dalla classificazione Cisco.

Quale valutazione sia più accurata non è verificabile senza analisi del binario patchato. La divergenza tuttavia rivela un pattern ricorrente nella disclosure coordinata: vendor e researcher possono percepire diversamente la stessa catena di exploit, specialmente quando le condizioni di trigger sono complesse o dipendono da specifiche configurazioni runtime.

Scope e condizioni di attivazione: chi è esposto

Cisco ha circoscritto il perimetro di rischio con precisione tecnica. La vulnerabilità interessa Open Source Snort 3 e i prodotti enterprise che lo integrano: Secure Firewall Threat Defense (FTD) e IOS XE con Unified Threat Defense (UTD). Snort 2 non è colpito ma è End of Life, quindi non riceve correzioni: questa è una condizione strutturale, non una via di mitigazione sicura.

La condizione essenziale per l'exploit è che la decompressione macro VBA sia attiva. Cisco dichiara esplicitamente che la feature non è abilitata di default. Su FTD, il supporto VBA decompression è introdotto dalla release 7.2.0, il che indica che la superficie vulnerabile è relativamente recente nel prodotto commerciale. Per essere esposti, un'organizzazione deve avere configurato almeno un detector VBA su uno dei quattro inspector engines supportati: IMAP, SMTP, HTTP, POP3.

Questa architettura di attivazione rende la vulnerabilità selettiva. Le organizzazioni che hanno abilitato l'ispezione VBA lo hanno fatto per robustezza difensiva: il controllo aggiuntivo genera ora una superficie che non esisterebbe altrimenti.

Cosa fare adesso

Le azioni dipendono dai presupposti tecnici documentati da Cisco:

Verificare se Snort 3 è attivo e se la decompressione VBA macro è abilitata sui detector IMAP, SMTP, HTTP o POP3
Consultare le tabelle fixed software dell'advisory Cisco per identificare la release patchata corrispondente alla propria piattaforma (FTD o IOS XE)
Valutare la disabilitazione temporanea della decompressione VBA come contenimento se la patch non è applicabile immediatamente

La timeline di disclosure coordinata è stata di 114 giorni: dalla report al vendor (30 giugno 2026) al rilascio pubblico (22 ottobre 2026). Nessun PoC pubblico né exploit in-the-wild sono documentati nelle fonti disponibili.

Analisi: perché la divergenza di valutazione conta

La frattura tra RCE e DoS influenza direttamente il threat model e le priorità di patching. Un team che si attenga al CVSS 5.8 MEDIUM potrebbe classificare la correzione come ordinaria, mentre la prospettiva RCE suggerisce un intervento urgente. L'assenza di dettagli pubblici sul PoC o su eventuali exploit in-the-wild non consente di dirimere la questione empiricamente.

Il caso illustra una tensione architetturale nei motori di inspection moderni: ogni parser aggiuntivo, anche quello difensivo, introduce complessità eseguibile su dati non fidati. La decompressione VBA, funzione di secondo livello rispetto al rilevamento base, espone il processo Snort a logiche di parsing che non sarebbero necessarie per il rilevamento signature standard.

Fonti

Fonti e riferimenti

Ricevi DeafLetter