CVE-2026-112200 Agotamiento de recursos por sesiones AR y RPC no liberadas en P-Net
P-Net no libera la Application Relationship ni la sesión RPC cuando se rechaza una solicitud RPC por endianness incorrecto, por lo que solicitudes repetidas agotan las sesiones disponibles y el dispositivo deja de responder hasta reiniciarse. Un atacante remoto no autenticado puede causar denegación de servicio. Corregido en P-Net 1.0.3.
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 36
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
RT-Labs P-Net
hasta antes de 1.0.3
Qué hacer
- Verificá si usás P-Net y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 8.7 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
P-Net before 1.0.3 does not release the Application Relationship (AR) and the RPC session when an RPC request is rejected because its data representation has incorrect endianness. The session and its AR remain allocated, so repeated requests exhaust the available sessions. Once they are exhausted the device no longer answers new RPC requests, including Connect, until it is restarted. A remote unauthenticated attacker can use this to cause a denial of service.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.