CVE-2026-46385

iskorotkov/avro sürətli Go Avro kodekidir. 2.33.0 versiyasından əvvəl Avro massiv və xəritə dekoderləri dövr daxilində oxuyucunun xəta vəziyyətini yoxlamadan hücumçunun idarə etdiyi blok sayına görə dövrlər qururdu. Reader.ReadBlockHeader funksiyası sayı Go int kimi qaytarır ki, bu da amd64 / arm64 hədəflərində 64 bitdir — buna görə də istehsalçı math.MaxInt64 (~9.2 × 10¹⁸) elementə qədər olan bir bloku elan edib ardınca EOF (və ya kəsilmiş hər hansı fayl yükü) yerləşdirə bilər və dekoder xətanı ötürməzdən əvvəl həmin sayda əməliyyatsız iterasiya cəhd edəcəkdir. Real tavan "işçi eksternal olaraq dayandırılana qədər qeyri-müəyyən" şəkildədir — tək bir zərərli fayl yükü proses OOM səbəbi ilə sonlandırılana, vaxt limiti ləğv edilənə və ya dayandırılana qədər CPU nüvəsini məşğul edir. Uzaqdan, autentifikasiyasız xidmətdən imtina (DoS). Bu boşluq 2.33.0 versiyasında aradan qaldırılıb.