CVE-2026-46385

iskorotkov/avro hızlı bir Go Avro codec'idir. 2.33.0 sürümünden önce, Avro dizi ve harita çözücüleri, döngü gövdesi içinde temel okuyucunun hata durumunu kontrol etmeden saldırgan tarafından kontrol edilen bir blok sayısı değeri üzerinden döngü kurmaktaydı. Reader.ReadBlockHeader, sayıyı amd64 / arm64 hedeflerinde 64 bit olan bir Go int olarak döndürür; bu nedenle bir üretici, ardından EOF (veya herhangi bir kesilmiş yük) gelen math.MaxInt64 (~9.2 × 10¹⁸) elemana kadar bir blok beyan edebilir ve çözücü hatayı iletmeden önce bu sayıda işlem yapmayan yineleme deneyecektir. Gerçekçi üst sınır "işlemci dışarıdan sonlandırılana kadar belirsizdir"; tek bir kötü niyetli yük, süreç OOM nedeniyle öldürülene, zaman aşımına uğrayana veya sonlandırılana kadar bir CPU çekirdeğini kilitler. Uzaktan, kimlik doğrulaması gerektirmeyen hizmet reddi. Bu güvenlik açığı 2.33.0 sürümünde düzeltilmiştir.