CVE-2026-65819
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
gopacket zapewnia możliwości przetwarzania pakietów dla języka Go. Do wersji 1.7.0 włącznie, wiele dekoderów warstw używa długości, liczników lub przesunięć kontrolowanych przez atakującego przed ich walidacją względem buforów pakietów, co pozwala spreparowanemu pakietowi zdekodowanemu przez DecodingLayerParser lub DecodeFromBytes na wywołanie nieodwracalnego paniki i zdalną odmowę usługi. Dostępny jest commit z poprawką pod adresem 210f25f.
Ocena ryzyka
Zdalny atakujący może wysłać specjalnie spreparowany pakiet, który spowoduje awarię procesu korzystającego z gopacket, prowadząc do przerwy w działaniu usługi (DoS).
Rekomendacja
Zastosuj poprawkę z commita 210f25f lub zaktualizuj bibliotekę gopacket do wersji zawierającej poprawkę.
Inne podatności w gopacket
Zobacz wszystkie- CVE-2026-54345Wysokie
Biblioteka gopacket dla Go w wersji 1.6.0 i wcześniejszych ma podatność w dekoderze AVP Diameter. Atakujący może kontrolować pole Length w AVP, co przy fladze vendor prowadzi do niedomiaru (underflow) 32-bitowej wartości i alokacji około 4 GiB pamięci. Dwa takie pakiety mogą spowodować OOM i odmowę usługi.
- CVE-2026-54332Wysokie
Biblioteka gopacket dla Go w wersji 1.6.0 i wcześniejszych ma podatność w dekoderze sFlow ExtendedGatewayFlow. Atakujący kontroluje 32-bitowe liczniki community i członków ścieżki AS, co prowadzi do alokacji do 16 GiB pamięci przy 104-bajtowym datagramie UDP, powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
gopacket provides packet processing capabilities for Go. Through version 1.7.0, multiple layer decoders use attacker-controlled lengths, counts, or offsets before validating them against packet buffers, allowing a crafted packet decoded through DecodingLayerParser or DecodeFromBytes to trigger an unrecovered panic and remotely deny service. A patch commit is available at 210f25f.