CVE-2026-27571
Açıklama
NATS-Server, bulut ve uç nokta yerlisi bir mesajlaşma sistemi olan NATS.io için yüksek performanslı bir sunucudur. NATS mesajlarının WebSockets işleme süreci, WebSockets üzerinden müzakere edilen sıkıştırma aracılığıyla sıkıştırılmış mesajları yönetir. Versiyonlar 2.11.2 ve 2.12.3 öncesinde, uygulama bir NATS mesajının bellek boyutunu sınırlandırmış ancak boyut nedenleriyle doğrulamadan geçemeyebilecek bir NATS mesajı oluşturulurken bellek akışının bellek tüketimini bağımsız olarak sınırlandırmamıştır. Bir saldırgan, aşırı bellek tüketimine neden olmak için bir sıkıştırma bombası kullanabilir ve bu durum genellikle işletim sisteminin sunucu işlemini sonlandırmasıyla sonuçlanır. Sıkıştırma kullanımı kimlik doğrulamadan önce müzakere edildiğinden, bunun istismar edilmesi için geçerli NATS kimlik bilgilerine ihtiyaç duyulmaz. Versiyonlar 2.11.2 ve 2.12.3 ile gelen düzeltme, işlemeye devam etmek yerine mesaj çok büyük olduğundale açma işleminin başarısız olacak şekilde sınırlandırılmasıdır. Bu güvenlik açığı yalnızca WebSockets kullanan ve ağ portunu güvenilmeyen uç noktalara açık tutan dağıtımları etkilemektedir.
Nasıl düzeltilir
- linuxfoundation nats-server2.11.12, 2.12.3 ya da sonraki bir sürüm
- github.com/nats-io/nats-server/v22.11.12, 2.12.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation nats-server | v < 2.11.12, 2.12.0 ≤ v < 2.12.3 | 2.11.12, 2.12.3 |
| github.com/nats-io/nats-server/v2Go | v < 2.11.12, 2.12.0-RC.1 ≤ v < 2.12.3 | 2.11.12, 2.12.3 |
| github.com/nats-io/nats-serverGo | v ≤ 1.4.1, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.