CVE-2026-33218
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność w serwerze NATS-Server przed wersjami 2.11.15 i 2.12.6 pozwala klientowi z dostępem do portu leafnode na wysłanie spreparowanej wiadomości przed autoryzacją, co powoduje awarię serwera.
Ocena ryzyka
Atakujący może zdalnie spowodować zatrzymanie serwera NATS, co prowadzi do przerwania usług komunikacyjnych i potencjalnej utraty dostępności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację serwera NATS do wersji 2.11.15 lub 2.12.6. Jeśli aktualizacja nie jest możliwa, należy wyłączyć obsługę leafnode lub ograniczyć dostęp sieciowy do portu leafnode.
Inne podatności w NATS-Server
Zobacz wszystkie- CVE-2026-58211Średnie
W serwerze NATS Server przed wersjami 2.14.3 i 2.12.12 klient mógł zostać zarejestrowany jako skonfigurowany no_auth_user poprzez ścieżkę parsera używaną, gdy pierwsza operacja klienta nie była CONNECT, co omijało ograniczenia połączeń na poziomie użytkownika, takie jak allowed_connection_types czy proxy_required, które normalnie stosuje uwierzytelnianie.
- CVE-2026-58208Średnie
Podatność w serwerze NATS pozwala nieuwierzytelnionemu klientowi na wysłanie żądania WebSocket dla protokołu MQTT, nawet gdy MQTT nie jest skonfigurowane. Prowadzi to do dostępu do niezainicjalizowanego stanu MQTT i awarii procesu serwera.
- CVE-2026-58207Wysokie
Podatność w serwerze NATS Server przed wersjami 2.14.3 i 2.12.12 pozwala klientowi na wysłanie żądania monitorowania połączeń z zakresem stronnicowania (Offset i Limit), które powodują przepełnienie arytmetyki wewnętrznej, co może doprowadzić do awarii serwera.
- CVE-2026-58254Średnie
W serwerze NATS przed wersjami 2.14.3 i 2.12.8 sprawdzanie docelowych tematów śledzenia wiadomości było stosowane do zwykłych połączeń klienckich, ale nie było konsekwentnie egzekwowane dla wiadomości przychodzących przez połączenia liściaste (leafnode). Pozwalało to operatorowi węzła liściastego wysyłać zdarzenia śledzenia do tematów, które w innym przypadku byłyby zabronione, oraz wykorzystywać zachowanie tylko do śledzenia, aby uniemożliwić normalne dostarczanie lub przechowywanie dotkniętych wiadomości.
- CVE-2026-58253Wysokie
W serwerze NATS wykryto podatność polegającą na tym, że gdy skonfigurowano opcję no_auth_user, szybka ścieżka parsera przeznaczona dla zwykłych połączeń klienckich mogła zostać zastosowana również do nasłuchiwania tras lub liści, umożliwiając nieuwierzytelnionemu peerowi ominięcie uwierzytelniania CONNECT między serwerami i działanie z uprawnieniami przypisanymi do tego typu połączenia.
- CVE-2026-58252Średnie
Podatność w serwerze NATS pozwala uwierzytelnionemu użytkownikowi odbierać wiadomości na zabronionych tematach, gdy subskrypcja z użyciem symboli wieloznacznych pokrywa się z regułą blokowania, ale nie jest jej podzbiorem. Dodatkowo subskrypcje kolejkowane mogą wpływać na dostarczanie wiadomości do legalnych konsumentów.
- CVE-2026-58251Średnie
W serwerze NATS wykryto podatność, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do odmowy subskrypcji na ominięcie reguły blokującej dostęp do tematu (subject) poprzez użycie subskrypcji kolejki (queue subscription). Problem występuje, ponieważ ocena odmowy dla konkretnej kolejki może nadpisać wynik ogólnej reguły odmowy dla tematu, gdy sama nazwa kolejki nie jest objęta zakazem.
- CVE-2026-58250Wysokie
W serwerze NATS przed wersjami 2.12.8 i 2.11.17, nieuwierzytelniony klient z dostępem sieciowym do nasłuchiwacza leafnode z włączoną kompresją może spowodować awarię serwera poprzez wysyłanie powtarzających się komunikatów protokołu INFO przed zakończeniem uwierzytelniania i konfiguracji konta.
- CVE-2026-58214Średnie
W serwerze NATS przed wersjami 2.14.3 i 2.12.12 uwierzytelniony klient MQTT mógł subskrybować wewnętrzną rodzinę tematów $MQTT.deliver.pubrel, co pozwalało na ominięcie skonfigurowanych uprawnień subskrypcji i ujawnienie metadanych protokołu MQTT QoS2 dla sesji w ramach konta.
- CVE-2026-58213Wysokie
Podatność w serwerze NATS pozwala klientowi MQTT na wstrzykiwanie znaków kontrolnych protokołu do filtrów subskrypcji, które są następnie przekazywane jako dane protokołu NATS do połączeń routingu lub liścia, co może prowadzić do uszkodzenia strumienia protokołu i umożliwić nieautoryzowane operacje NATS.
Oryginalny opis (angielski, źródło NVD)
NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to versions 2.11.15 and 2.12.6, a client which can connect to the leafnode port can crash the nats-server with a certain malformed message pre-authentication. Versions 2.11.15 and 2.12.6 contain a fix. As a workaround, disable leafnode support if not needed or restrict network connections to the leafnode port, if plausible without compromising the service offered.