Wireshark 漏洞允許攻擊者通過注入畸形數據包導致程序崩潰
Wireshark 基金會已為其廣泛使用的網絡協議分析工具發布重要安全更新，修復了多個可能導致拒絕服務狀態的漏洞。最新版本 4.6.1 專門針對 Bundle Protocol version 7（BPv7）和 Kafka 解析器中發現的安全缺陷。這些漏洞若未修補，攻擊者可通過向網絡流或跟蹤文件注入惡意數據強制使應用程序崩潰。
解析器崩潰漏洞導致拒絕服務風險
最新安全公告的核心問題集中在 Wireshark 解析特定網絡協議的方式上。安全研究人員在 BPv7 解析器中發現了編號為 wnpa-sec-2025-05 的重大缺陷，影響版本 4.6.0。Kafka 解析器中同樣發現編號為 wnpa-sec-2025-06 的漏洞，影響版本 4.6.0 以及 4.4.x 分支（從 4.4.0 到 4.4.10）。
公告編號 | 組件 | 漏洞類型 | 影響 | 受影響版本 | 修復版本 |
wnpa-sec-2025-05 | BPv7 解析器 | 空指針解引用/崩潰 | 拒絕服務(DoS) | 4.6.0 | 4.6.1 |
wnpa-sec-2025-06 | Kafka 解析器 | 內存損壞/崩潰 | 拒絕服務(DoS) | 4.6.0, 4.4.0–4.4.10 | 4.6.1, 4.4.11 |
兩種漏洞的利用機制都涉及注入畸形數據包。攻擊者可通過兩種方式觸發崩潰：向 Wireshark 正在監控的實時網絡接口發送特制數據包，或誘騙目標分析人員打開被篡改的數據包跟蹤文件。
雖然 Wireshark 團隊在內部測試中發現這些問題，目前尚未發現野外利用案例，但對于依賴該工具進行持續監控的安全運營中心(SOC)和網絡管理員而言，潛在的破壞風險仍然很高。
穩定性改進與功能修復
除主要安全補丁外，此次維護版本還解決了多個影響協議分析的穩定性問題。開發團隊對 L2CAP 解析器進行了重要修正，該組件此前無法正確解釋重傳模式；同時修復了 DNS HIP 解析器中將 PK 算法錯誤標記為 HIT 長度的問題。
團隊還解決了 TShark 中由 Lua 插件引發的崩潰問題，并修復了應用程序在選擇消息時卡頓的特定問題。其他改進包括：修復 TCP 解析器創建無效數據包圖表的問題，修正 LZ4 壓縮輸出文件寫入失敗錯誤。在復雜網絡環境中工作的用戶將受益于插件構建過程中 endian.h 與 libc 之間沖突的解決。
更新還確保 UDP 端口 853 能被正確解碼為 QUIC（DoQ），并恢復了對 4.6.0 版本不兼容的 Omnipeek 文件的支持。
問題編號 | 組件 | 描述 |
Issue 2241 | L2CAP 解析器 | 修正邏輯；解析器現在能正確理解重傳模式 |
Issue 20768 | DNS HIP 解析器 | 修復將 PK 算法錯誤識別為 HIT 長度的標簽錯誤 |
Issue 20776 | 構建系統 | 解決 packet-zbee-direct.c 中的 clang-cl 編譯錯誤 |
Issue 20779 | 文件 I/O | 解決寫入 LZ4 壓縮輸出文件時的失敗問題 |
Issue 20786 | 插件 | 修復構建插件時 endian.h 與 libc 的沖突 |
Issue 20794 | TShark | 解決由 Lua 插件引起的崩潰 |
Issue 20797 | UI 性能 | 修復選擇特定消息時 Wireshark 卡頓數秒的問題 |
Issue 20802 | TLS 解析器 | 修正使用新會話票證的 TLS 簡化握手處理 |
Issue 20803 | WebSocket | 修復自定義 WebSocket 解析器無法運行的錯誤 |
Issue 20813 | DCERPC 解析器 | 解決 packet-dcerpc.c 中由 WINREG QueryValue 觸發的解析器錯誤 |
Issue 20817 | Lua API | 修復 FileHandler 讀取數據包時的崩潰 |
Issue 20818 | 過濾引擎 | 修正 FT_NONE/BASE_NONE 字段(單字節)的"應用為過濾器"功能，正確使用十六進制值 |
Issue 20819 | UI 布局 | 解決選擇"數據包圖表"或"無"時"窗格3"偏好布局的問題 |
Issue 20820 | TCP 解析器 | 修復創建無效數據包圖表的問題 |
Issue 20831 | 文件格式 | 解決打開文件格式時 VLAN 標簽嵌套過多的問題 |
Issue 20842 | 文件支持 | 恢復對 Omnipeek 文件的支持(該功能在 4.6.0 版本中被破壞) |
Issue 20845 | IsoBus 解析器 | 為字符串操作添加 UTF-16 字符串支持 |
Issue 20849 | SNMP 解析器 | 修正 getBulkRequest request-IDs 的過濾 |
Issue 20852 | 模糊測試 | 解決特定模糊測試任務問題(fuzz-2025-11-12-12064814316.pcap) |
Issue 20856 | QUIC/DoQ | 確保 UDP 端口 853(DoQ)被正確解碼為 QUIC |
網絡管理員和安全分析師應立即優先升級至 Wireshark 4.6.1 或 4.4.11。更新可直接從 Wireshark 基金會官網下載，或通過 Linux 和 Unix 發行版的相應軟件包管理器獲取。
