CVE-2026-79658
Təsvir
Ech0 5.0.1 versiyasından əvvəlki versiyalarda hər bir HTTP sorğusunda işləyən i18n middleware tərəfindən emal edilən Accept-Language başlığının ölçüsü və ya forması üçün heç bir məhdudiyyət tətbiq edilmir. Başlıq filtrlənmədən go-i18n-in NewLocalizer funksiyasına ötürülür və həmin funksiya daxildə golang.org/x/text/language.ParseAcceptLanguage funksiyasını çağırır. x/text kitabxanasındakı CVE-2022-32149 tədbiri '-' simvollarını məhdudlaşdırsa da, parser tərəfindən '-' kimi qəbul edilən '_' simvollarını məhdudlaşdırmır. Bu, alt xətt ayırıcılardan ibarət böyük başlıqla (Go-nun standart 1 MiB limiti qədər) kvadratik zamanlı parse prosesinin tetiklənməsinə şərait yaradır. Autentifikasiya olunmamış hücumçu, hər biri təxminən 1.5 saniyə CPU resursu istehlak edən belə sorğular göndərə bilər və eyni vaxtda gələn sorğular çoxnüvəli serveri doyura bilər (xidmətdən imtina).
Necə düzəltmək olar
- lin-snow Ech05.0.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lin-snow Ech0 | v < 5.0.1 | 5.0.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.