CVE-2026-79658
Açıklama
5.0.1 sürümünden önceki Ech0, her HTTP isteğinde çalışan i18n ara yazılımı tarafından işlenen Accept-Language başlığına herhangi bir boyut veya biçim sınırı getirmez. Başlık, filtrelenmeden go-i18n'in NewLocalizer fonksiyonuna iletilir ve bu fonksiyon dahili olarak golang.org/x/text/language.ParseAcceptLanguage fonksiyonunu çağırır. x/text içerisindeki CVE-2022-32149 hafifletmesi '-' karakterlerini sınırlandırır ancak ayrıştırıcının '-' olarak takma adlandırdığı '_' karakterlerini sınırlandırmaz; bu durum, alt çizgi ayırıcılardan oluşan büyük bir başlıkla (Go'nun varsayılan 1 MiB sınırına kadar) kuadratik zamanlı ayrıştırmanın tetiklenmesine izin verir. Kimliği doğrulanmamış bir saldırgan, her biri yaklaşık 1,5 saniye CPU tüketen bu tür istekler göndererek çok çekirdekli bir sunucuyu doyurabilir (hizmet reddi).
Nasıl düzeltilir
- lin-snow Ech05.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lin-snow Ech0 | v < 5.0.1 | 5.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.