CVE-2026-103963
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W glib-networking wykryto błąd polegający na braku limitu liczby biletów sesji TLS 1.3 przechowywanych w pamięci podręcznej po stronie klienta dla jednego hosta. Złośliwy serwer może wysyłać nadmierną liczbę komunikatów z biletami sesji, powodując ciągły wzrost zużycia pamięci przez aplikację klienta, co prowadzi do wyczerpania pamięci i odmowy usługi (DoS).
Ocena ryzyka
Atakujący może zdalnie wywołać awarię lub zawieszenie aplikacji korzystającej z glib-networking, powodując niedostępność usługi. Może to zakłócić działanie krytycznych aplikacji i wymagać restartu systemu.
Rekomendacja
Zaktualizuj bibliotekę glib-networking do wersji zawierającej poprawkę ograniczającą liczbę przechowywanych biletów sesji TLS 1.3. Monitoruj zużycie pamięci przez aplikacje korzystające z TLS 1.3.
Inne podatności w glib-networking
Zobacz wszystkie- CVE-2026-10028Średnie
W bibliotece glib-networking wykryto podatność polegającą na nieskończonej pętli podczas weryfikacji certyfikatów. Zdalny atakujący może dostarczyć specjalnie spreparowany łańcuch certyfikatów z cyklicznymi relacjami wystawcy, co powoduje przeciążenie procesora i odmowę usługi.
- CVE-2025-60019Niskie
Backend OpenSSL w glib-networking nieprawidłowo sprawdza wartości zwracane przez funkcje alokacji pamięci. W warunkach braku pamięci może to prowadzić do zapisu w nieprawidłowej lokalizacji pamięci.
- CVE-2025-60018Średnie
Backend OpenSSL w glib-networking nieprawidłowo sprawdza wartość zwracaną przez wywołanie BIO_write(), co prowadzi do odczytu poza dozwolonym zakresem pamięci.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in glib-networking. When establishing connections using Transport Layer Security (TLS) version 1.3, the client-side session cache does not limit the number of session tickets retained for a single host. A malicious server can exploit this by sending excessive session ticket messages, causing the client application to continuously consume memory. This unbounded memory growth can exhaust system memory, resulting in a Denial of Service (DoS).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS