CVE-2026-67554
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Apache Qpid Proton-Dotnet do wersji 1.0.0 uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego obsługiwania zakresów, co prowadzi do odmowy usługi.
Ocena ryzyka
Atakujący może spowodować przeciążenie procesora, co prowadzi do niedostępności usługi.
Rekomendacja
Zaktualizuj Apache Qpid Proton-Dotnet do wersji 1.1.0 lub nowszej.
Inne podatności w Apache Qpid Proton-Dotnet
Zobacz wszystkie- CVE-2026-67555Średnie
W Apache Qpid Proton-Dotnet do wersji 1.0.0 brakuje mechanizmu ograniczającego maksymalną liczbę ramek transferu w przychodzącej dostawie. Uwierzytelniony atakujący może to wykorzystać do nadmiernego zużycia zasobów i potencjalnej odmowy usługi.
- CVE-2026-67553Średnie
W Apache Qpid Proton-Dotnet do wersji 1.0.0 uwierzytelniony atakujący może przekroczyć okno kontroli przepływu sesji (session flow control incoming window), co może prowadzić do odmowy usługi.
- CVE-2026-67552Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-Dotnet do wersji 1.0.0 włącznie. Zalecane jest uaktualnienie do wersji 1.1.0, która naprawia problem.
- CVE-2026-67551Wysokie
Atakujący przed autoryzacją może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację pamięci, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-Dotnet do wersji 1.0.0.
- CVE-2026-67465Wysokie
Atakujący przed autoryzacją może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-Dotnet do wersji 1.0.0.
Oryginalny opis (angielski, źródło NVD)
An authenticated attacker can craft a disposition frame with large or illegal ranges causing excessive CPU usage due to naive range handling, leading to denial of service. This issue affects Apache Qpid Proton-Dotnet: through 1.0.0. Users are recommended to upgrade to version 1.1.0, which fixes the issue.