CVE-2026-73564
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
frp w wersjach od 0.53.0 do 0.70.1 ma podatność w opcjonalnej bramie SSH Tunnel Gateway w pkg/ssh/server.go, gdzie parsowanie żądania kanału exec dodaje 4 do kontrolowanej przez atakującego długości. Długość 0xFFFFFFFF powoduje zawinięcie dodawania uint32 do 3, co omija sprawdzenie granic i prowadzi do paniki w TunnelServer.handleNewChannel. Gdy brak pliku autoryzowanych kluczy, nieuwierzytelniony peer może dotrzeć do tej fazy przed sprawdzeniem tokena frp, a pojedyncze pięciobajtowe żądanie kończy proces frps i zrywa wszystkie aktywne tunele. Problem naprawiono w wersji 0.70.1.
Ocena ryzyka
Zdalny nieuwierzytelniony atakujący może spowodować awarię serwera frp, przerywając wszystkie aktywne tunele i powodując niedostępność usług. Może to prowadzić do przerwy w działaniu aplikacji korzystających z tunelowania.
Rekomendacja
Zaleca się aktualizację frp do wersji 0.70.1 lub nowszej, która zawiera poprawkę. Dodatkowo warto skonfigurować plik autoryzowanych kluczy, aby wymusić uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
frp is a fast reverse proxy. From 0.53.0 until 0.70.1, frp's optional SSH Tunnel Gateway in pkg/ssh/server.go parses an SSH exec channel request by adding 4 to an attacker-controlled four-byte big-endian length. A length of 0xFFFFFFFF makes the uint32 addition wrap to 3, defeats the payload bounds check, and causes payload[4:3] to panic in TunnelServer.handleNewChannel. When no authorized-keys file is configured, sshConfig.NoClientAuth permits an unauthenticated peer to reach this channel phase before the frp token is checked, so a single five-byte request terminates the frps process and drops every active tunnel. This issue is fixed in version 0.70.1.