CVE-2026-77322

WysokieCVSS 7.5

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

SIPGO przed wersją 1.4.3 zawiera podatność w funkcji WSConnection.Read, która nie ustawia MaxFrameSize, co pozwala nieuwierzytelnionemu klientowi WS lub WSS na wysłanie nagłówka ramki z bardzo dużą deklarowaną długością, powodując nadmierną alokację pamięci lub panikę makeslice, co prowadzi do awarii lub wyczerpania pamięci serwera.

Ocena ryzyka

Atakujący może spowodować awarię serwera lub wyczerpanie pamięci, co prowadzi do odmowy usługi.

Rekomendacja

Zaktualizuj SIPGO do wersji 1.4.3 lub nowszej.

Inne podatności w SIPGO

CVE-2026-58268Wysokie
SIPGO to biblioteka do tworzenia usług SIP w języku GO. Przed wersją 1.4.1 funkcja ParserStream.parseSingle w sip/parser_stream.go przydziela bufor treści SIP na podstawie nagłówka Content-Length kontrolowanego przez klienta, zanim zostanie wymuszone ograniczenie ParseMaxMessageLength. Nieuwierzytelniony peer może wysłać wiadomość strumieniową przez TCP, TLS, WS lub WSS z zawyżoną zadeklarowaną długością, powodując nadmierną alokację pamięci i odmowę usługi przed odczytaniem treści. Problem został naprawiony w wersji 1.4.1.

Oryginalny opis (angielski, źródło NVD)

SIPGO is a library for writing SIP services in the GO language. Prior to 1.4.3, WSConnection.Read in sip/transport_ws.go creates a wsutil.Reader without setting MaxFrameSize, allowing NextFrame to accept a client-controlled header.Length before ParseMaxMessageLength is applied. An unauthenticated WS or WSS peer can send a frame header declaring an extremely large payload, causing an oversized allocation or a makeslice length panic before the payload is read and crashing or exhausting memory in the server process. This issue is fixed in version 1.4.3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS