PT-2026-52645
CVE-2026-48702
·
تاريخ النشر
2026-06-25
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات hauler الأقدم من 2.0.1-1.1
الوصف
تقوم الدالة
Package.Unmarshal() الموجودة في pkg/types/alpine/apk.go بفك ضغط عناصر gzip الخاصة بالتوقيع والتحكم في ملف APK إلى مخازن مؤقتة في الذاكرة دون تحديد الحد الأقصى للحجم الإجمالي بعد فك الضغط. وهذا يسمح لـ«قنبلة فك الضغط» — وهي ملف مضغوط صغير يتوسع إلى حجم هائل — باستهلاك ذاكرة الكومة (heap) بلا حدود، مما يؤدي إلى خطأ فادح في وقت تشغيل Go بسبب نفاد الذاكرة أو إيقاف تشغيل نظام التشغيل بسبب نفاد الذاكرة (OOM-kill). يمكن الوصول إلى هذه المشكلة عبر نقاط النهاية غير المصادق عليها ’POST /api/v1/log/entries‘ و ’POST /api/v1/log/entries/retrieve‘، والتي تطلق عملية فك الضغط غير المحدودة من خلال الدالتين V001Entry.Canonicalize() و fetchExternalEntities().التوصيات
التحديث إلى الإصدار 2.0.1-1.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾