CVE-2026-65652

WysokieCVSS 8.7

Opublikowano: 21/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 21/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 43 - wyżej niż 43% wszystkich znanych CVE

Streszczenie

Biblioteka github.com/temporalio/tchannel-go nie walidowała jednobajtowego pola typu sumy kontrolnej w przychodzących ramkach wywołań TChannel. Zdalny peer z dostępem do nasłuchu może zakończyć standardowe uzgadnianie inicjalizacji i wysłać żądanie wywołania z nieobsługiwanym typem sumy kontrolnej. Parser używa tej wartości jako indeksu do czteroelementowej puli sum kontrolnych, powodując nieodzyskany panic Go na gorutynie odczytu połączenia i zakończenie procesu hostującego.

Ocena ryzyka

Atakujący może zdalnie wywołać odmowę usługi wobec aplikacji udostępniających nasłuch niezaufanym peerom. Wpływ ogranicza się do dostępności; nie stwierdzono wpływu na poufność ani integralność.

Rekomendacja

Zaktualizuj github.com/temporalio/tchannel-go do wersji zawierającej poprawkę walidującą pole typu sumy kontrolnej. Do czasu aktualizacji rozważ ograniczenie dostępu sieciowego do nasłuchu TChannel.

Inne podatności w tchannel-go

CVE-2026-65653Wysokie
Biblioteka github.com/temporalio/tchannel-go nie odrzucała fragmentów wywołań TChannel zawierających metadane sumy kontrolnej, ale bez fragmentów argumentów z prefiksem długości. Czytnik fragmentów pozostawiał pusty wycinek fragmentów i bezwarunkowo wybierał pierwszy element. Zdalny peer może dostarczyć taki zniekształcony fragment wywołania, w tym jako bezpośrednie początkowe żądanie wywołania po zakończeniu standardowego uzgadniania inicjalizacji, powodując nieodzyskany panic Go poza zakresem wycinka na gorutynie dyspozytorskiej utworzonej przez bibliotekę i zakończenie procesu hostującego.

Oryginalny opis (angielski, źródło NVD)

github.com/temporalio/tchannel-go did not validate the one-byte checksum-type field in inbound TChannel call frames. A network peer that can reach a listener can complete the standard initialization handshake and send a call request with an unsupported checksum type. The parser uses that value as an index into a four-entry checksum pool, causing an unrecovered Go panic on the connection read goroutine and terminating the hosting process. This allows remote denial of service against applications that expose the listener to untrusted peers. The impact is limited to availability; no confidentiality or integrity impact was identified.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS