CVE-2026-59803
Təsvir
rpcx 1.9.3 versiyasına qədər, 047aec1 commitində düzəldilmiş, protocol.Message.Decode (protocol/message.go) funksiyasında xidmətdən imtina zəifliyi var. Mesajda sıxılma bayrağı qoyulduqda, yük util.Unzip vasitəsilə gzip ilə açılır və açılmış çıxışın ölçüsünə heç bir məhdudiyyət qoyulmur. Yeganə daxili ölçü qoruyucusu olan protocol.MaxMessageLength sıxılmış şəbəkə çərçivəsinin uzunluğuna görə yoxlanılır, açılmış ölçüyə görə deyil, buna görə heç bir müdafiə təmin etmir. Dekodlaşdırma (və açma) autentifikasiyadan əvvəl readRequest daxilində baş verdiyi üçün, tək autentifikasiya olunmamış bağlantı gigabaytlarla heap ayrılmasına genişlənən kiçik (2 MB-dan az) gzip ilə sıxılmış mesaj göndərə bilər və bu, yaddaşın tükənməsinə və xidmətin əlçatmaz olmasına səbəb olur.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| smallnest rpcx | v ≤ 1.9.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.