CVE-2026-112331
WysokieCVSS 7.5Streszczenie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu produkować rekordy do konsumowanego tematu trwale zablokować usługę poprzez wysłanie pojedynczego spreparowanego rekordu. Ustawienie nagłówka content-type na application/cloudevents+json i pominięcie wymaganych atrybutów CloudEvent (id, source, type) wywołuje ArgumentException w KafkaMessageConsumer.SingleMessageHandlingAsync, traktowany jako krytyczny, co zatrzymuje host i powoduje ponowne przetwarzanie tego samego rekordu przy każdym restarcie, prowadząc do trwałej pętli awarii.
Ocena ryzyka
Pojedynczy złośliwy rekord w temacie Kafka może trwale zablokować usługę Motor.NET, powodując niedostępność. Ryzyko dotyczy środowisk, w których atakujący może publikować do konsumowanego tematu.
Rekomendacja
Zaktualizuj Motor.NET do wersji 0.19.0 lub nowszej. Wprowadź walidację nagłówków CloudEvent i mechanizmy dead-letter queue dla wiadomości powodujących błędy.
Inne podatności w Motor.NET
Zobacz wszystkie- CVE-2026-112332Wysokie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na nieprzechwycony wyjątek w JsonNetDeserializer.Deserialize, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki lub tematu trwale zablokować usługę poprzez wysłanie strukturalnie poprawnego JSON, który nie pasuje do oczekiwanego typu handlera. JsonSerializationException nie jest przechwytywany razem z JsonReaderException i InvalidCastException, przez co TypedConsumerService.SingleMessageConsumeAsync traktuje błąd jako CriticalFailure i wywołuje StopApplication, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, co prowadzi do trwałej pętli awarii.
- CVE-2026-112330Wysokie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki trwale zablokować usługę poprzez wysłanie wiadomości ze spreparowanymi nagłówkami cloudEvents. Atakujący może podać nieprawidłowy cloudEvents:motorversion, wartość nagłówka z pojedynczym cudzysłowem lub nieparsowalny atrybut typowany, taki jak cloudEvents:time, aby wywołać nieobsłużony wyjątek w ExtractCloudEvent traktowany jako krytyczny, co zatrzymuje aplikację, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, prowadząc do trwałej pętli awarii.
Oryginalny opis (angielski, źródło NVD)
Motor.NET before 0.19.0 contains a denial-of-service vulnerability that allows a remote attacker who can produce records to a consumed topic to crash the service permanently by sending a single crafted record. By setting the content-type header to application/cloudevents+json and omitting required CloudEvent attributes (id, source, type), the attacker triggers an ArgumentException in KafkaMessageConsumer.SingleMessageHandlingAsync that is treated as fatal, causing the host to stop and re-process the same poison record on every restart, resulting in a permanent crash-loop.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS