A Wireshark kiadta a 4.6.9-es verziót, amely 19 közzétett biztonsági sérülékenységet javít a hálózati csomagelemző szoftverben. A hibák között szerepel egy olyan probléma is, amely rosszindulatú konfigurációs profil importálásakor tetszőleges kód futtatását teheti lehetővé.
A frissítés a protokollokat értelmező modulok, a csomagrögzítési fájlokat beolvasó összetevők és a Sharkd elemző segédprogram gyengeségeit kezeli. Számos hiba az érintett komponens összeomlását okozhatja, mások azonban feldolgozási ciklusokba kényszeríthetik a programot vagy memóriaszivárgást idézhetnek elő. Ez megzavarhatja az elemzést, és jelentős rendszererőforrásokat köthet le. A Wireshark 4.6.9 kiadási megjegyzései
A 4.6.9-es kiadás és a korábbi ághoz tartozó 4.4.19-es karbantartási frissítés 2026. szeptember 23-án jelent meg. A Wireshark kiadási bejelentése
A hálózati rendszergazdák és a biztonsági csapatok számára a jelentőség túlmutat a szoftver stabilitásán. Több közlemény hibásan kialakított hálózati forgalmat vagy csomagrögzítési fájlokat nevez meg támadási bemenetként — éppen olyan anyagokat, amelyeket az elemzők rendszeresen vizsgálnak hibaelhárítás és incidenskezelés közben.
Mire használható a Wireshark?
A Wireshark széles körben használt hálózati protokollelemző, amely hibaelhárítási, elemzési, fejlesztési és oktatási feladatokat támogat.
Kormányzati szervezetek, oktatási intézmények, nagyvállalatok, kisvállalkozások és nonprofit szervezetek egyaránt használják hálózati problémák feltárására. Emellett a hálózati kommunikáció működésének megismeréséhez is hasznos eszköz.
A kiberbiztonsági szakemberek többek között kapcsolatok követésére, gyanús hálózati tranzakciók vizsgálatára és szokatlan forgalmi kiugrások azonosítására alkalmazzák. Megfelelő használatához ugyanakkor a hálózati protokollok és az elemzési lehetőségek ismerete is szükséges.
A program három alapvető feladatot támogat:
- Csomagrögzítés: valós időben figyeli a kiválasztott hálózati interfészen elérhető forgalmat, és a beállításoknak megfelelően rögzíti a csomagokat. Egy vizsgálat során akár több tízezer csomag is összegyűlhet.
- Szűrés: rögzítési és megjelenítési szűrőkkel segít kiválasztani a vizsgálat szempontjából lényeges adatokat.
- Részletes megjelenítés és elemzés: lehetővé teszi az egyes csomagok mezőinek vizsgálatát, valamint kapcsolatok és adatfolyamok követését.
A hálózati forgalom megfigyelésében, elemzésében és hibáinak feltárásában betöltött szerepe miatt a feldolgozó motor gyengeségei különösen fontosak. A kockázat akkor válik kézzelfoghatóvá, ha egy hibát az elemzésre átadott rosszindulatú vagy hibás hálózati adat válthat ki.
A profilimportálás kódfuttatási lehetőséget teremthet
Az egyik legjelentősebb javítás a CVE-2026-96419 azonosítójú sérülékenységet kezeli, amely a Wireshark konfigurációs profiljainak importálását érinti.
A projekt külön biztonsági közleménye szerint egy speciálisan kialakított profil a program összeomlását vagy akár tetszőleges kód futtatását is okozhatja. A leírt támadási helyzethez rá kell venni valakit egy rosszindulatú konfigurációs profil importálására. A közlemény nem állítja, hogy a sérülékenységet önmagában a Wireshark telepítése vagy elindítása kiváltaná.
Az érintett verziók:
| Kiadási ág | Érintett verziók | Első javított verzió |
|---|---|---|
| Wireshark 4.6 | 4.6.0–4.6.8 | 4.6.9 |
| Wireshark 4.4 | 4.4.0–4.4.18 | 4.4.19 |
A fejlesztők ezekre vagy későbbi kiadásokra történő frissítést javasolnak. A közlemény megjelenésekor nem tudtak a hibát kihasználó exploitról. A közzététel tehát lehetséges kódfuttatási kockázatot igazol, de nem bizonyít éles támadásokban történt sikeres kihasználást. A profilimportálási sérülékenység hivatalos közleménye
A konfigurációs profilok a mindennapi elemzői munka hasznos részei. Tartalmazhatnak beállításokat, rögzítési és megjelenítési szűrőket, színezési szabályokat, letiltott protokollokat és egyedi protokollértelmezési hozzárendeléseket. A felhasználók ZIP-archívumokból vagy könyvtárstruktúrákból importálhatnak profilokat, és későbbi felhasználásra exportálhatják is őket. Wireshark felhasználói útmutató: konfigurációs profilok
Ez a hordozhatóság bizalmi döntést is jelent. Egy hibaelhárítási segédletként vagy kényelmes elemzési beállításként átadott profil továbbra is külső bemenet, amelyet az alkalmazásnak fel kell dolgoznia.
A frissítés ezért különösen fontos azoknál a csapatoknál, amelyek ügyfelekkel, beszállítókkal vagy más elemzőkkel cserélnek profilokat.
A hibás csomagrögzítési fájlok kimeríthetik az erőforrásokat
Több javítás olyan problémát kezel, amelynél a Wireshark a művelet normál befejezése helyett tovább dolgozik a rosszindulatú bemeneten.
A TTL-fájlok beolvasóját érintő CVE-2026-95386 végtelen ciklust okozhat. A közlemény szerint a támadó túlzott processzorhasználatot válthat ki, ha ráveszi a felhasználót egy hibásan kialakított csomagrögzítési fájl megnyitására. A hiba a 4.6.0–4.6.8 verziókat érinti, és a 4.6.9-ben javították. A TTL-feldolgozó sérülékenységének közleménye
Ez jól mutatja, hogy egy offline csomagrögzítés nem automatikusan veszélytelen. A támadáshoz nem szükséges, hogy az elemző élő hálózati kapcsolatban álljon a fájl készítőjével: maga a megnyitás lehet a lényeges felhasználói művelet.
Egy incidensvizsgálatban az el nem készülő feldolgozás késleltetheti a rögzítésben található bizonyítékok értékelését.
Egy másik sérülékenység, a CVE-2026-95394, a Microsoft Network Monitor fájlformátumának beolvasóját érinti. A Wireshark ezt rendkívül sok ismétlést végző ciklusként írja le, amely hibás csomagrögzítési fájl megnyitásakor szintén túlzott CPU-terhelést okozhat.
Ez a probléma a 4.6-os és a 4.4-es ágat is érinti; a javítás a 4.6.9 és a 4.4.19 verzióban található. A Network Monitor-feldolgozó közleménye
A két hibatípus nem teljesen azonos. A végtelen ciklus normál módon nem fejeződik be, míg egy túl nagy ciklus akkor is aránytalanul sok munkát okozhat, ha végül véget ér. A fájl betöltésére váró elemző munkáját azonban mindkettő akadályozhatja.
Az USB HID és a Synchrophasor feldolgozása is javítást kapott
Az USB Human Interface Device, röviden USB HID protokollértelmező modulját a CVE-2026-96421 érinti. A probléma végtelen ciklust és memóriaszivárgást is okozhat.
A közlemény hibás csomagokat és hibás csomagrögzítési fájlokat is lehetséges kiváltó bemenetként nevez meg. A javított kiadások a 4.6.9 és a 4.4.19. A fejlesztők ennél a hibánál sem jeleztek ismert exploitot a közlemény kiadásakor. Az USB HID sérülékenységének leírása
Az azonnali összeomlástól eltérően egy ciklus vagy memóriaszivárgás mellett a folyamat továbbra is futhat, miközben erőforrásokat fogyaszt, vagy nem jut előrébb a feldolgozásban. Automatizált elemzésnél ezért a futási időt és a memóriahasználatot is érdemes figyelni, nem csupán azt, hogy a feladat leállt-e.
Egy további javítás a CVE-2026-95395 azonosítójú memóriaszivárgást kezeli az IEEE C37.118 Synchrophasor protokollértelmezőben. A közlemény itt is hibás forgalmat vagy csomagrögzítési fájlt nevez meg lehetséges kiváltóként, és mindkét érintett kiadási ághoz megadja a javítást. A Synchrophasor-feldolgozó biztonsági közleménye
A hiba az elemzőprogram protokollfeldolgozására vonatkozik. Nem bizonyítja, hogy az adott forgalmat előállító rendszereket is kompromittálták.
A Sharkd javítása az automatizált elemzésnél fontos
A frissítés a CVE-2026-95388 azonosítójú, Sharkd-összeomlást okozó sérülékenységet is megszünteti. Az érintett verziók a Wireshark 4.6.0–4.6.8 és 4.4.0–4.4.18 kiadásai, a javítás pedig a 4.6.9 és 4.4.19 verzióban található. A Sharkd sérülékenységének közleménye
A Sharkd kevésbé látható összetevő lehet, mint az asztali alkalmazás, mégis fontos azokban a megoldásokban, amelyek beágyazottan vagy automatizáltan végeznek csomagelemzést.
A hivatalos kézikönyv a Wireshark háttérfolyamatként működő változataként írja le: JSON-alapú API-n keresztül biztosít elemzési lehetőségeket, és ugyanazt a protokollértelmező motort használja, mint a Wireshark és a TShark.
Az ezt használó szervezeteknél egy kizárólag asztali alkalmazásokra összpontosító szoftverleltár kihagyhat érintett összetevőket. Egy elemző grafikus alkalmazásának frissítése nem igazolja, hogy a külön szolgáltatásként vagy csomagolt elemzési környezetben futó példány is megkapta a javítást.
A kézikönyv külön figyelmeztet arra is, hogy a Sharkd nem tehető elérhetővé nem megbízható felhasználóknak: a korlátozás nélküli hozzáférés információszivárgási vagy parancsvégrehajtási kockázatot teremthet. Ez általános telepítési útmutatás, és nem azonos a most javított összeomlási hibával. A Sharkd hivatalos kézikönyve
A biztonsági közleményeken túl is érkeztek javítások
A 4.6.9 hivatalos kiadási megjegyzései a Bluetooth AVCTP üzeneteinek újraösszeállítását, az SMB-objektumok exportálását, a LoRaWAN-adatok visszafejtését, a PKCS12 feldolgozását és a megjelenítési szűrők működését érintő korrekciókat is felsorolnak.
További tételek foglalkoznak a DICOM-objektumok exportálásakor fellépő heapmemória-felülírással, valamint az etwdump csomagrögzítési segédprogram veremalapú puffertúlcsordulásával, amely speciálisan kialakított ETL-fájlok feldolgozásakor jelentkezhet.
Az, hogy ezek az általános hibajavítások között szerepelnek, nem bizonyítja a biztonsági jelentőség hiányát. Ugyanakkor a felsorolás alapján nem indokolt minden javítást igazoltan kihasználható kódfuttatási hibának nevezni.
A kiadás nem vezet be új protokollokat. A meglévő protokollok kezelését és a csomagrögzítési fájlok támogatását frissíti, ezért elsősorban biztonsági és karbantartási kiadásnak tekinthető. A Wireshark 4.6.9 teljes változáslistája
Az elemzési környezeteket is frissíteni kell
A közlemények elsődleges intézkedésként a frissítést jelölik meg. A profilimportálási hiba és több más ismertetett probléma esetében a szervezetek a Wireshark 4.6.9-re vagy a megfelelő 4.4.19-es karbantartási kiadásra válthatnak.
Az érintett verziótartományok sérülékenységenként eltérnek. Egy konkrét telepítés vizsgálatakor ezért az egyedi közleményeket is ellenőrizni kell.
A frissítésnek azokra a környezetekre kell kiterjednie, ahol az elemzés ténylegesen történik. Ide tartoznak az incidensvizsgálók munkaállomásai és a Sharkdot használó szolgáltatások is.
A nem megbízható csomagrögzítéseket kezelő csapatoknak azt is érdemes értékelniük, hogy az erőforráskorlátok és az elkülönített elemzési környezetek mennyiben csökkentenék a hibás bemenet által okozott fennakadást.
A jogosultságok korlátozása az elemzőt is védi
A Wireshark csomagrögzítési jogosultságokról szóló dokumentációja korlátozott felhasználói jogosultságok használatát javasolja. Emelt hozzáférést csak azok a folyamatok kapjanak, amelyeknek arra ténylegesen szükségük van.
A program jogosultságszétválasztási megoldása lehetővé teszi, hogy a fő alkalmazás vagy a TShark normál felhasználóként fusson, miközben a csomagrögzítő összetevő megkapja a rögzítéshez szükséges engedélyeket. Wireshark: csomagrögzítési jogosultságok
Ez nem helyettesíti a biztonsági frissítéseket, de korlátozhatja egy sikeres támadás következményeit. Egy potenciálisan ellenséges anyagok vizsgálatára rendszeresen használt eszköznél az elemzőprogram karbantartása és jogosultságainak szabályozása magának a vizsgálatnak a védelmét is szolgálja.
Hol érhető el dokumentáció és segítség?
A felhasználói útmutató, a kézikönyvoldalak és további szakmai anyagok a Wireshark dokumentációs oldalán találhatók.
Közösségi segítség az Ask Wireshark kérdés-válasz oldalon és a wireshark-users levelezőlistán érhető el.
A hibákat és funkciójavaslatokat a projekt hibakövető rendszerében lehet bejelenteni. A protokollelemzés iránt érdeklődők a SharkFest rendezvényein tanulhatnak és találkozhatnak a Wireshark fejlesztőivel.
Eredeti cím: Wireshark Fixes 19 Security Flaws Including Critical Code Execution Vulnerability
