PT-2026-68321
CVE-2026-70616
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-06
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات boringproxy الأقدم من 0.10.1
الوصف
يمكن لمستخدم معتمد التسبب في استنفاد الموارد عن طريق إرسال طلبات إلى نقطة النهاية ’GET /loading‘ باستخدام معلمة استعلام
id ضارة. تحدث هذه المشكلة لأن المعالج يفتقر إلى فحص صحة البحث في الخريطة ويحاول استلام البيانات من قناة فارغة (قناة لم يتم تهيئتها)، مما يؤدي إلى حظرها إلى أجل غير مسمى. ونظرًا لعدم وجود مهلات زمنية وإلغاء السياق واستعادة الموارد من جانب الخادم، يستهلك كل طلب بشكل دائم goroutine واحدًا (خيط خفيف الوزن يديره وقت تشغيل Go)، وواحدًا من واصفات الملفات، وحوالي 50 كيلوبايت من الذاكرة. ويستمر هذا الوضع حتى يصل الخادم إلى الحد الأقصى لعدد واصفات الملفات، مما يتسبب في فشل استدعاءات Accept الخاصة بالمستمع وإيقاف إعادة توجيه كل حركة مرور النفق لجميع المستخدمين.التوصيات
قم بتحديث boringproxy إلى إصدار أحدث من 0.10.0.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’GET /loading‘.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾