CVE-2026-46385

WysokieCVSS 7.5

Opublikowano: 29/05/2026(UTC)Zaktualizowano: 07/09/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 43 - wyżej niż 43% wszystkich znanych CVE

Streszczenie

Biblioteka iskorotkov/avro dla Go przed wersją 2.33.0 zawiera podatność na zdalną odmowę usługi (DoS). Dekodery bloków Avro nie sprawdzają stanu błędu czytnika w pętli przetwarzającej bloki danych, co pozwala atakującemu na wysłanie pakietu z ogromną liczbą elementów, powodując niekończącą się pętlę i wyczerpanie zasobów CPU.

Ocena ryzyka

Nieuwierzytelniony atakujący może zdalnie zablokować rdzeń procesora na czas nieokreślony, prowadząc do odmowy usługi dla aplikacji korzystającej z tej biblioteki.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę iskorotkov/avro do wersji 2.33.0 lub nowszej.

Inne podatności w iskorotkov/avro

CVE-2026-46384Wysokie
Biblioteka Go Avro (iskorotkov/avro) przed wersją 2.33.0 zawiera wiele podatności w dekoderach Avro. Atakujący może przesłać kontrolowane wartości 64-bitowe, które na platformach 32-bitowych (GOARCH=386, arm, mips, wasm) powodują pominięcie sprawdzania granic, wybór niewłaściwej gałęzi unii lub panic przy OCF. Ponadto, na wszystkich platformach występują przepełnienia arytmetyczne sumy rozmiarów w dekoderach tablic/map, negacja math.MinInt w nagłówkach bloków oraz make([]byte, size) z ujemnym rozmiarem w blokach OCF – wszystkie prowadzą do panic lub pominięcia limitów alokacji.

Oryginalny opis (angielski, źródło NVD)

iskorotkov/avro is a fast Go Avro codec. Prior to 2.33.0, the Avro array and map decoders looped over an attacker-controlled block-count value without checking the underlying reader's error state inside the loop body. Reader.ReadBlockHeader returns the count as a Go int, which is 64-bit on amd64 / arm64 targets — so a producer can declare a block of up to math.MaxInt64 (~9.2 × 10¹⁸) elements followed by EOF (or any truncated payload), and the decoder will attempt that many no-op iterations before propagating the error. The realistic ceiling is "indefinite until the worker is killed externally" — a single hostile payload pins a CPU core until the process is OOM-killed, deadline-cancelled, or terminated. Remote, unauthenticated denial-of-service. This vulnerability is fixed in 2.33.0.