CVE-2026-49232
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Routinator kończy działanie przy każdym błędzie podczas akceptowania połączeń HTTP lub RTR, w tym błędach możliwych do odzyskania, takich jak wyczerpanie deskryptorów plików. Atakujący może celowo otworzyć wiele połączeń, aby wywołać ten stan.
Ocena ryzyka
Atakujący może spowodować odmowę usługi (DoS) poprzez wyczerpanie deskryptorów plików, co zmusi Routinator do zamknięcia. Dotyczy to tylko użytkowników udostępniających serwer HTTP/RTR w niezaufanych sieciach.
Rekomendacja
Ogranicz dostęp do serwera HTTP/RTR tylko do zaufanych sieci lub zastosuj obejście, jeśli dostępne.
Inne podatności w Routinator
Zobacz wszystkie- CVE-2026-49235Wysokie
Podatność w Routinator powoduje crash przy napotkaniu pliku RRDP z specjalnie spreparowaną definicją typu dokumentu (DTD).
- CVE-2026-49234Wysokie
W Routinator wysłanie specjalnie spreparowanego, nie-UTF-8 ciągu znaków jako parametru select-asn w zapytaniu do endpointu /api/v1/origins powoduje awarię programu. Podatność dotyczy tylko użytkowników, którzy zezwalają na dostęp API z niezaufanych sieci.
- CVE-2026-49233Wysokie
Routinator nieprawidłowo sprawdza komponent modułu w URI rsync, które są używane do tworzenia ścieżek systemu plików dla pamięci podręcznej Routinator. Umożliwia to przechodzenie poza katalog (path traversal) poprzez umieszczenie w nazwie modułu sekwencji .., potencjalnie dając atakującemu dostęp do całej pamięci podręcznej rsync Routinator.
Oryginalny opis (angielski, źródło NVD)
Routinator exits on any error when accepting incoming HTTP or RTR connections, including ones it can recover from such as running out of file descriptors. This condition can be triggered maliciously by an attacker by opening a large number of connections to the HTTP or RTR server. This only affects users that make their HTTP or RTR server available to untrusted networks.