CVE-2026-72757

W Routinator podczas przetwarzania zakresu AS, jeśli wartość maksymalna zakresu jest mniejsza niż wartość minimalna, Routinator nigdy nie osiągnie wartości maksymalnej i zabraknie mu pamięci.

Routinator kończy działanie, gdy URI rsync dla pliku pobranego przez RRDP zawiera ścieżkę, której nie można zapisać na dysku, na przykład zbyt długie nazwy plików lub nazwy folderów kolidujące z istniejącymi nazwami plików.

Routinator przechowuje nowo pobrany certyfikat TA przez HTTPS w pamięci podręcznej bez walidacji, co może nadpisać znany prawidłowy certyfikat TA nawet jeśli walidacja się nie powiedzie.

Gdy Routinator napotyka CRL z wieloma wpisami, może zawiesić się lub zabraknąć mu pamięci. Jeśli napotka plik CRL z nieprawidłowym kodowaniem, może zakończyć działanie.

Routinator akceptuje i parsuje pliki notyfikacji RRDP zawierające luki w wpisach delta, co może prowadzić do utraty danych. Przy zbyt dużej liczbie wpisów delta może dojść do wyczerpania pamięci.

Routinator wyczerpuje pamięć, gdy wyjście JSON jest żądane wielokrotnie współbieżnie, co atakujący może wywołać złośliwie, otwierając dużą liczbę połączeń do serwera HTTP. Dodatkowo Routinator ulega przepełnieniu stosu i kończy działanie, gdy element ładunku z nadmiarem metadanych jest odrzucany jednocześnie.

Podatność w Routinator powoduje crash przy napotkaniu pliku RRDP z specjalnie spreparowaną definicją typu dokumentu (DTD).

W Routinator wysłanie specjalnie spreparowanego, nie-UTF-8 ciągu znaków jako parametru select-asn w zapytaniu do endpointu /api/v1/origins powoduje awarię programu. Podatność dotyczy tylko użytkowników, którzy zezwalają na dostęp API z niezaufanych sieci.

Routinator nieprawidłowo sprawdza komponent modułu w URI rsync, które są używane do tworzenia ścieżek systemu plików dla pamięci podręcznej Routinator. Umożliwia to przechodzenie poza katalog (path traversal) poprzez umieszczenie w nazwie modułu sekwencji .., potencjalnie dając atakującemu dostęp do całej pamięci podręcznej rsync Routinator.

Routinator kończy działanie przy każdym błędzie podczas akceptowania połączeń HTTP lub RTR, w tym błędach możliwych do odzyskania, takich jak wyczerpanie deskryptorów plików. Atakujący może celowo otworzyć wiele połączeń, aby wywołać ten stan.