CVE-2026-105042
Niskie ryzyko· EPSS 14%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Głęboko zagnieżdżone ciało wiadomości dekodowane przez pn_message_body() może spowodować przepełnienie stosu i awarię. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
Ocena ryzyka
Atakujący może wysłać spreparowaną wiadomość, powodując awarię aplikacji i tym samym atak typu denial of service.
Rekomendacja
Zaktualizuj Apache Qpid Proton C do wersji 0.41.1, która naprawia problem. Rozważ ograniczenie głębokości zagnieżdżenia przetwarzanych wiadomości.
Inne podatności w Apache Qpid Proton C
Zobacz wszystkie- CVE-2026-115942Niskie ryzyko· EPSS 3%
Błędnie skonfigurowany certyfikat wieloznaczny TLS powoduje przepełnienie odczytu stosu. Problem nie dotyczy certyfikatów wieloznacznych wystawionych zgodnie ze standardem RFC9525 — poprawka akceptuje wyłącznie certyfikaty zgodne z tym standardem. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
- CVE-2026-114230Niskie ryzyko· EPSS 19%
Podczas wysyłania ramek SASL w celu uwierzytelnienia peera Proton przetwarza również ramki AMQP, jeśli deklarują się jako ramki SASL. Umożliwia to obejście uwierzytelniania, choć nazwa użytkownika nie zostanie ustawiona, więc skutki zależą od obsługi tego stanu przez aplikację — oznacza to, że uwierzytelnianie nie zostało zakończone. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
- CVE-2026-105031Niskie ryzyko· EPSS 3%
Podatność w bibliotece Apache Qpid Proton C (do wersji 0.40.0) dotyczy implementacji TLS OpenSSL. Funkcje pn_ssl_domain_set_trusted_ca_db() i pn_tls_config_set_trusted_certs() dodawały zaufane certyfikaty do domyślnych systemowych zamiast je zastępować, co mogło prowadzić do zaufania nieoczekiwanym certyfikatom peera.
Oryginalny opis (angielski, źródło NVD)
A message body that is deeply nested and decoded by pn_message_body() could overflow the stack and cause a crash. This issue affects Apache Qpid Proton C: through 0.40.0. Users are recommended to upgrade to version 0.41.1, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS