CVE-2026-57497
Açıklama
webtransport-go, WebTransport protokolünün bir uygulamasıdır. 0.11.1 sürümünden önce, session.go dosyasındaki Session.parseNextCapsule(), kapsül okuyucusu üzerinde io.ReadAll çağırarak HTTP/3 istek akışındaki bilinmeyen bir WebTransport kapsülünü atlar ve beyan edilen tüm kapsül gövdesini bellekte tutar. Kötü niyetli bir eş, büyük bir bilinmeyen kapsül göndererek bir istemcinin veya sunucunun tüm yük için bellek ayırmasına neden olabilir; okuma işlemi akış kontrol penceresini ilerletirken alınan baytlar bellekte kaldığından, QUIC akış kontrolü toplam tutulan tahsisi sınırlamaz. Bunun sonucunda ortaya çıkan bellek ve kaynak tükenmesi, etkilenen işlemin aksamasına veya çökmesine neden olabilir. Bu sorun 0.11.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/quic-go/webtransport-go0.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/quic-go/webtransport-goGo | v < 0.11.1 | 0.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.