PT-2026-28347 · Envoy+2 · Envoy+2
CVSS v4.0
8.7
عالية
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Fleet الأقدم من 4.81.0
الوصف
يحتوي برنامج Fleet، وهو برنامج مفتوح المصدر لإدارة الأجهزة، على عدة نقاط نهاية HTTP غير مصدقة لا تفرض حدًا أقصى للحجم عند قراءة نصوص الطلبات. يمكن لمهاجم غير مصدق استغلال هذه الثغرة عن طريق إرسال حمولات HTTP كبيرة أو متكررة، مما يؤدي إلى تخصيص مفرط للذاكرة وحالة رفض الخدمة (DoS). تؤثر هذه المشكلة على التوافر فقط، دون أي تعرض للبيانات الحساسة أو تجاوز المصادقة أو تصعيد الامتيازات أو تأثير على السلامة.
التوصيات
يجب ترقية الإصدارات الأقدم من 4.81.0 إلى الإصدار 4.81.0 أو أحدث.
كحل مؤقت، قم بتطبيق حدود لحجم نص الطلب على الوكيل العكسي أو موزع الحمل (مثل NGINX، Envoy).
قم بتقييد الوصول الشبكي إلى نقاط النهاية على نطاقات عناوين IP معروفة حيثما أمكن ذلك.
راقب استخدام الذاكرة وتكرار إعادة التشغيل للكشف عن أي أنماط غير طبيعية.
استغلال
إصلاح
DoS
Allocation of Resources Without Limits
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Envoy
Fleet
Nginx