CVE-2026-112332
WysokieCVSS 7.5Streszczenie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na nieprzechwycony wyjątek w JsonNetDeserializer.Deserialize, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki lub tematu trwale zablokować usługę poprzez wysłanie strukturalnie poprawnego JSON, który nie pasuje do oczekiwanego typu handlera. JsonSerializationException nie jest przechwytywany razem z JsonReaderException i InvalidCastException, przez co TypedConsumerService.SingleMessageConsumeAsync traktuje błąd jako CriticalFailure i wywołuje StopApplication, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, co prowadzi do trwałej pętli awarii.
Ocena ryzyka
Pojedyncza spreparowana wiadomość może trwale zablokować usługę opartą na Motor.NET, powodując niedostępność systemu. Ryzyko dotyczy każdego wdrożenia, w którym atakujący ma możliwość publikowania do konsumowanej kolejki lub tematu.
Rekomendacja
Zaktualizuj Motor.NET do wersji 0.19.0 lub nowszej. Ogranicz uprawnienia do publikowania do kolejek i tematów konsumowanych przez usługę oraz rozważ mechanizmy dead-letter queue.
Inne podatności w Motor.NET
Zobacz wszystkie- CVE-2026-112331Wysokie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu produkować rekordy do konsumowanego tematu trwale zablokować usługę poprzez wysłanie pojedynczego spreparowanego rekordu. Ustawienie nagłówka content-type na application/cloudevents+json i pominięcie wymaganych atrybutów CloudEvent (id, source, type) wywołuje ArgumentException w KafkaMessageConsumer.SingleMessageHandlingAsync, traktowany jako krytyczny, co zatrzymuje host i powoduje ponowne przetwarzanie tego samego rekordu przy każdym restarcie, prowadząc do trwałej pętli awarii.
- CVE-2026-112330Wysokie
Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki trwale zablokować usługę poprzez wysłanie wiadomości ze spreparowanymi nagłówkami cloudEvents. Atakujący może podać nieprawidłowy cloudEvents:motorversion, wartość nagłówka z pojedynczym cudzysłowem lub nieparsowalny atrybut typowany, taki jak cloudEvents:time, aby wywołać nieobsłużony wyjątek w ExtractCloudEvent traktowany jako krytyczny, co zatrzymuje aplikację, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, prowadząc do trwałej pętli awarii.
Oryginalny opis (angielski, źródło NVD)
Motor.NET before 0.19.0 contains an uncaught exception vulnerability in JsonNetDeserializer.Deserialize that allows a remote attacker who can publish to a consumed queue or topic to crash the service permanently by sending structurally valid JSON that does not match the handler's expected type. Attackers can exploit the fact that JsonSerializationException is not caught alongside JsonReaderException and InvalidCastException, causing TypedConsumerService.SingleMessageConsumeAsync to treat the error as CriticalFailure and call StopApplication, which combined with the unacknowledged message being redelivered on restart results in a permanent crash-loop.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS