CVE-2026-40303
Açıklama
zrok; web servislerini, dosyaları ve ağ kaynaklarını paylaşmak için kullanılan bir yazılımdır. Versiyon 2.0.1 öncesinde, endpoints.GetSessionCookie fonksiyonu, herhangi bir token doğrulaması gerçekleşmeden önce saldırgan tarafından sağlanan çerez parçacık sayısını ayrıştırır ve üst sınır olmaksızın make([]string, count) işlemini çağırır. Bu fonksiyona, OAuth korumalı bir proxy paylaşımına yapılan her istekte erişilebilmektedir; bu durum, kimliği doğrulanmamış uzak bir saldırganın istek başına gigabayt ölçeğinde heap tahsisatlarını tetiklemesine izin vererek işlem düzeyinde OOM sonlanmasına veya tekrarlanan goroutine panic'lerine yol açar. Hem publicProxy hem de dynamicProxy etkilenmektedir. Versiyon 2.0.1 bu sorunu gidermektedir.
Nasıl düzeltilir
- netfoundry zrok2.0.1 ya da sonraki bir sürüm
- github.com/openziti/zrok/v22.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netfoundry zrok | v < 2.0.1 | 2.0.1 |
| github.com/openziti/zrokGo | v ≤ 1.1.11, Aralık belirtilmemiş | — |
| github.com/openziti/zrok/v2Go | v < 2.0.1 | 2.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.