CVE-2026-54332
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Biblioteka gopacket dla Go w wersji 1.6.0 i wcześniejszych ma podatność w dekoderze sFlow ExtendedGatewayFlow. Atakujący kontroluje 32-bitowe liczniki community i członków ścieżki AS, co prowadzi do alokacji do 16 GiB pamięci przy 104-bajtowym datagramie UDP, powodując odmowę usługi.
Ocena ryzyka
Nieuwierzytelniony zdalny atakujący może spowodować wyczerpanie pamięci i odmowę usługi (DoS) poprzez wysłanie małego pakietu UDP.
Rekomendacja
Zaktualizuj gopacket do wersji 1.6.1 lub nowszej.
Inne podatności w gopacket
Zobacz wszystkie- CVE-2026-65819Wysokie
gopacket zapewnia możliwości przetwarzania pakietów dla języka Go. Do wersji 1.7.0 włącznie, wiele dekoderów warstw używa długości, liczników lub przesunięć kontrolowanych przez atakującego przed ich walidacją względem buforów pakietów, co pozwala spreparowanemu pakietowi zdekodowanemu przez DecodingLayerParser lub DecodeFromBytes na wywołanie nieodwracalnego paniki i zdalną odmowę usługi. Dostępny jest commit z poprawką pod adresem 210f25f.
- CVE-2026-54345Wysokie
Biblioteka gopacket dla Go w wersji 1.6.0 i wcześniejszych ma podatność w dekoderze AVP Diameter. Atakujący może kontrolować pole Length w AVP, co przy fladze vendor prowadzi do niedomiaru (underflow) 32-bitowej wartości i alokacji około 4 GiB pamięci. Dwa takie pakiety mogą spowodować OOM i odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
gopacket provides packet processing capabilities for Go. In version 1.6.0 and earlier, the sFlow ExtendedGatewayFlow decoder in layers/sflow.go reads an attacker-controlled 32-bit community count and AS path member count and sizes a slice allocation from those counts without bounding them against the bytes remaining in the datagram, so a 104-byte UDP datagram can drive an allocation of up to 16 GiB and cause an unauthenticated remote denial of service. This issue is fixed in version 1.6.1.