CVE-2026-92822
ŚrednieCVSS 6.2Streszczenie
W bibliotece libmodulemd wykryto podatność polegającą na braku limitu głębokości rekurencji i liczby węzłów podczas parsowania pola xmd w metadanych modułów. Złośliwie spreparowany plik YAML z głęboko obiektami zagnieżdżonymi może doprowadzić do wyczerpania stosu lub nadmiernego zużycia zasobów.
Ocena ryzyka
Atakujący może zdalnie dostarczyć spreparowane metadane modułów i spowodować odmowę usługi (DoS) aplikacji lub systemu przetwarzającego takie dane.
Rekomendacja
Zaktualizuj libmodulemd do wersji zawierającej poprawkę ograniczającą głębokość rekurencji i liczbę węzłów przy parsowaniu xmd. Do czasu aktualizacji unikaj przetwarzania niezaufanych plików modulemd YAML.
Inne podatności w libmodulemd
Zobacz wszystkie- CVE-2026-92824Średnie
W libmodulemd wykryto wadę w ścieżce emisji rpm-map strumienia modułu v2, gdzie wewnętrzna pętla nieprawidłowo używa liczby algorytmów skrótu jako granicy zamiast liczby sum kontrolnych w bieżącej tabeli skrótów. Spreparowane metadane modulemd v2 z wieloma typami skrótów mogą wywołać odczyt poza granicami bufora podczas serializacji YAML, zazwyczaj powodując awarię i odmowę usługi.
- CVE-2026-92823Średnie
W libmodulemd w kompilacjach z włączonym wsparciem rpmio skompresowany YAML modulemd jest dekompresowany przez niestandardowy handler odczytu, który nie egzekwuje łącznego limitu rozmiaru po dekompresji przed parsowaniem. Atakujący, który może dostarczyć wysoce kompresowalny skompresowany plik YAML, może spowodować nadmierne zużycie CPU i pamięci, prowadząc do odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in libmodulemd. When parsing module metadata, the xmd field is converted into nested GVariant values through recursive YAML mapping and sequence helpers without a recursion-depth or node-count limit. An attacker who can supply crafted modulemd YAML with deeply nested xmd content can cause stack exhaustion or excessive resource consumption, resulting in a denial of service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS