PT-2026-48347
CVE-2026-52880
·
تاريخ النشر
2026-06-05
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
klever-go من الإصدار 1.7.14 إلى 1.7.17
الوصف
تتعرض واجهة برمجة التطبيقات REST في مكونات seednode و node لهجمات رفض الخدمة. ويحدث ذلك لأن التطبيق يستخدم دالة
Engine.Run في إطار عمل Gin، والتي تعتمد على http.ListenAndServe الافتراضي في Go. ويفتقر هذا التنفيذ الافتراضي إلى حدود على مستوى التطبيق لـ ReadHeaderTimeout وReadTimeout وMaxHeaderBytes.يمكن لعميل غير مصدق استغلال هذه الثغرة عن طريق فتح اتصالات متعددة وإرسال رؤوس HTTP غير مكتملة إلى ما لا نهاية. يؤدي ذلك إلى استنفاد موارد الخادم، مما يؤدي إلى حالة لا يستطيع فيها الخادم قبول اتصالات شرعية جديدة، مما يؤدي بدوره إلى عدم توفر واجهة برمجة التطبيقات REST. تبرز هذه المشكلة بشكل خاص عندما تكون واجهة برمجة التطبيقات مرتبطة بجميع الواجهات باستخدام العلامة
--rest-api-interface أو عند نشرها عبر Docker مع نشر المنفذ 8080.التوصيات
بالنسبة للإصدارات من 1.7.14 إلى 1.7.17، استبدل استخدام
Engine.Run في cmd/seednode/api.Start وnetwork/api.Start بتكوين صريح لـ http.Server يحدد ReadHeaderTimeout وReadTimeout وWriteTimeout وIdleTimeout وMaxHeaderBytes.كإجراء تخفيفي مؤقت، تجنب ربط واجهة برمجة التطبيقات REST بجميع الواجهات عبر العلامة
--rest-api-interface أو قم بتقييد الوصول إلى المنفذ 8080 باستخدام جدار حماية خارجي أو وكيل عكسي يفرض مهلات انتهاء صلاحية الرؤوس. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾