CVE-2023-39326
ŚrednieStreszczenie
Podatność w bibliotece net/http języka Go pozwala atakującemu HTTP na użycie rozszerzeń chunk do zmuszenia odbiorcy do odczytania znacznie większej ilości danych z sieci niż faktycznie znajduje się w treści żądania lub odpowiedzi. Złośliwy klient HTTP może wykorzystać to do automatycznego odczytania przez serwer dużej ilości danych (do około 1 GiB).
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu odmowa usługi (DoS) poprzez przeciążenie serwera nadmiernym odczytem danych, co może prowadzić do wyczerpania zasobów sieciowych i pamięci.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę net/http do wersji zawierającej poprawkę (np. Go 1.21.1 lub nowszej) oraz zastosować ograniczenia czasowe i rozmiarowe dla odczytu danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
A malicious HTTP sender can use chunk extensions to cause a receiver reading from a request or response body to read many more bytes from the network than are in the body. A malicious HTTP client can further exploit this to cause a server to automatically read a large amount of data (up to about 1Gi