PT-2026-41790
CVE-2026-45685
·
تاريخ النشر
2026-05-18
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
أدوات قياس OpenTelemetry eBPF من الإصدار 0.1.0 إلى 0.8.0
الوصف
يمكن أن تؤدي رسائل MongoDB غير الصحيحة إلى حدوث حالات ذعر غير مكتشفة في محلل TCP الخاص بـ MongoDB، مما يسمح لمهاجم بعيد غير مصدق عليه بتعطيل وكيل القياس عن بُعد والتسبب في رفض الخدمة. يعمل المحلل على حمولات شبكة خام يسيطر عليها المهاجم قبل التحقق الكامل من صحة المدخلات، مما يعني أن رسالة واحدة مصممة خصيصًا يمكنها إنهاء عملية جمع البيانات القياسية للعملية أو العقدة المتأثرة. تشمل التفاصيل الفنية حالات الذعر المتعلقة بحدود الشرائح في الدالتين
parseOpMessage() وparseSections() عند معالجة حزم OP MSG المقطوعة أو أقسام تسلسل المستندات غير الصحيحة، بالإضافة إلى حالة ذعر في وقت التشغيل في الدالة parseFirstField() بسبب تأكيد نوع غير مُتحقق منه على field.Value عند معالجة مستندات BSON غير الصحيحة.التوصيات
قم بالتحديث إلى الإصدار 0.9.0 أو أحدث.
كحل مؤقت، قم بتقييد وكيل القياس عن بُعد من معالجة حركة مرور MongoDB الواردة من عملاء غير موثوق بهم أو موثوق بهم جزئيًا لتقليل مخاطر الاستغلال إلى الحد الأدنى.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾