PT-2026-54445
CVE-2026-49835
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-09-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Sigstore Timestamp Authority الأقدم من v2.0.7
الوصف
يمكن لمهاجم عن بُعد غير مصدق أن يتسبب في نمو غير محدود للذاكرة على خادم Timestamp Authority. تحدث هذه المشكلة لأن البرمجية الوسيطة
wrapMetrics تسجل مسار طلب HTTP الخام r.URL.Path وطريقة طلب HTTP الخام r.Method كعلامات Prometheus لمتجهات مقاييس زمن الاستجابة وعدد الطلبات. ونظرًا لأن هذه البرمجية الوسيطة تُنفذ قبل التوجيه القياسي، فإنها تعالج جميع الطلبات الواردة، بما في ذلك المسارات غير المتطابقة والطرق التعسفية. تنشئ مكتبة Prometheus إدخالًا دائمًا في السلسلة الزمنية لكل تركيبة فريدة من التسميات، مما يسمح للمهاجم باستنفاد ذاكرة النظام عن طريق إرسال طلبات بمسارات أو طرق عشوائية.التوصيات
قم بالتحديث إلى الإصدار v2.0.7 أو أحدث.
حظر أو إسقاط الطلبات الواردة ذات طرق HTTP غير صالحة أو مسارات طلب غير معروفة عند الوكيل العكسي أو موزع الحمل قبل وصولها إلى الخادم.
تكوين تحديد معدل الطلبات على الواجهة العامة لمنع إصدار عدد كبير من الطلبات الفريدة في فترة زمنية قصيرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾