CVE-2026-112330
WysokieCVSS 7.5Streszczenie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki trwale zablokować usługę poprzez wysłanie wiadomości ze spreparowanymi nagłówkami cloudEvents. Atakujący może podać nieprawidłowy cloudEvents:motorversion, wartość nagłówka z pojedynczym cudzysłowem lub nieparsowalny atrybut typowany, taki jak cloudEvents:time, aby wywołać nieobsłużony wyjątek w ExtractCloudEvent traktowany jako krytyczny, co zatrzymuje aplikację, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, prowadząc do trwałej pętli awarii.
Ocena ryzyka
Spreparowana wiadomość z nieprawidłowymi nagłówkami cloudEvents może trwale zablokować usługę Motor.NET, powodując niedostępność systemu. Ryzyko dotyczy wdrożeń, w których atakujący ma możliwość publikowania do konsumowanej kolejki.
Rekomendacja
Zaktualizuj Motor.NET do wersji 0.19.0 lub nowszej. Dodaj walidację nagłówków cloudEvents oraz mechanizmy dead-letter queue dla wiadomości powodujących błędy.
Inne podatności w Motor.NET
Zobacz wszystkie- CVE-2026-112332Wysokie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na nieprzechwycony wyjątek w JsonNetDeserializer.Deserialize, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki lub tematu trwale zablokować usługę poprzez wysłanie strukturalnie poprawnego JSON, który nie pasuje do oczekiwanego typu handlera. JsonSerializationException nie jest przechwytywany razem z JsonReaderException i InvalidCastException, przez co TypedConsumerService.SingleMessageConsumeAsync traktuje błąd jako CriticalFailure i wywołuje StopApplication, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, co prowadzi do trwałej pętli awarii.
- CVE-2026-112331Wysokie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu produkować rekordy do konsumowanego tematu trwale zablokować usługę poprzez wysłanie pojedynczego spreparowanego rekordu. Ustawienie nagłówka content-type na application/cloudevents+json i pominięcie wymaganych atrybutów CloudEvent (id, source, type) wywołuje ArgumentException w KafkaMessageConsumer.SingleMessageHandlingAsync, traktowany jako krytyczny, co zatrzymuje host i powoduje ponowne przetwarzanie tego samego rekordu przy każdym restarcie, prowadząc do trwałej pętli awarii.
Oryginalny opis (angielski, źródło NVD)
Motor.NET before 0.19.0 contains a denial of service vulnerability that allows a remote attacker who can publish to a consumed queue to crash the service permanently by sending a message with crafted cloudEvents headers. Attackers can supply an invalid cloudEvents:motorversion, a single double-quote header value, or an unparsable typed attribute such as cloudEvents:time to trigger an unhandled exception in ExtractCloudEvent that is treated as fatal, causing the application to stop and the unacknowledged message to be redelivered on restart, resulting in a permanent crash-loop.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS