Contexto e Escopo da Ameaça
O Internet Systems Consortium (ISC) lançou um aviso de segurança crítico alertando administradores de rede de uma vulnerabilidade de alta severidade que afeta o servidor Kea DHCP. Rastreada como CVE-2026-3608, esta falha permite que atacantes remotos não autenticados acionem um erro de estouro de pilha (stack overflow).
Quando explorada com sucesso, a vulnerabilidade causa o encerramento do daemon receptor, resultando em uma perda súbita e total dos serviços DHCP em toda a rede. A vulnerabilidade existe na maneira como os daemons Kea processam mensagens recebidas em canais de escuta específicos.
Um atacante pode explorar essa fraqueza enviando uma mensagem maliciosamente elaborada sobre qualquer socket de API configurado ou ouvinte de Alta Disponibilidade (HA). Como a carga útil de entrada não é tratada corretamente pelo software, ocorre um estouro de pilha, forçando o serviço a terminar inesperadamente.
Componentes e Impacto
Este problema impacta vários componentes principais da arquitetura Kea. O aviso observa explicitamente que os daemons kea-ctrl-agent, kea-dhcp-ddns, kea-dhcp4 e kea-dhcp6 são todos suscetíveis a este ataque. Ali Norouzi da Keysight é creditado por descobrir e relatar o problema de forma responsável ao ISC.
Carregando uma pontuação CVSS v3.1 de 7.5, o CVE-2026-3608 representa uma ameaça significativa à estabilidade da rede. A vulnerabilidade requer zero interação do usuário e nenhum privilégio elevado, o que significa que qualquer mau ator com acesso de rede aos sockets de API pode acionar o crash.
A consequência primária desta exploração é uma condição severa de negação de serviço (DoS). Quando os daemons Kea saem, a rede perde imediatamente suas capacidades DHCP, o que pode interromper a atribuição de endereços IP, quebrar a conectividade de rede para novos dispositivos e impactar severamente as operações empresariais.
Mitigações e Workarounds
Para resolver permanentemente esta vulnerabilidade, o ISC aconselha fortemente as organizações a atualizarem imediatamente suas implantações Kea para as versões corrigidas mais recentes. Administradores executando o branch 2.6 devem atualizar para o Kea 2.6.5. Em comparação, aqueles no branch 3.0 devem atualizar para o Kea 3.0.3 para proteger seus ambientes contra potenciais ataques de negação de serviço.
Para administradores de rede que não conseguem corrigir seus sistemas imediatamente, o ISC forneceu um workaround temporário eficaz. Organizações podem bloquear o caminho de exploração protegendo seus sockets de API com Transport Layer Security (TLS) e exigindo autenticação mútua estrita.
Ao configurar o servidor para exigir um certificado de cliente válido, os administradores garantem que um atacante não possa estabelecer a conexão de API inicial necessária para entregar a carga maliciosa. Felizmente, o ISC declarou que não tem conhecimento de exploits ativos na natureza no momento.
Recomendações para Infraestrutura de Rede
Para CISOs e equipes de infraestrutura, a prioridade deve ser a identificação de todos os servidores Kea DHCP em uso. A atualização deve ser agendada imediatamente, mesmo que fora do horário comercial, dado o risco de interrupção de serviço em massa. Caso a atualização não seja possível, a implementação de TLS nos sockets de API é mandatória para mitigar o risco de DoS remoto.