Michael-Jread

Forge (também conhecido como node-forge) é uma implementação nativa de Transport Layer Security em JavaScript. A função `asn1.fromDer()` não aplica consistentemente o limite `maxDepth` ao decodificar dados ASN.1 armazenados em valores BIT STRING, retendo cópias recursivamente em cada nível de aninhamento. Um invasor pode fornecer um DER (Distinguished Encoding Rules) especialmente criado contendo BIT STRINGs aninhados para causar recursão excessiva, alto uso de CPU e consumo quadrático de memória.

O analisador Smile assíncrono `NonBlockingByteArrayParser` aloca um array de bytes com base em um prefixo de comprimento binário bruto proveniente de entrada não confiável, sem um limite superior ou verificação de estouro. Especificamente, ao encontrar o marcador binário bruto 0xFD, a função ` decodeVInt()` calcula o comprimento sem a proteção de estouro utilizada na função `SmileParser. readUnsignedVInt` de bloqueio. Subsequentemente, ` startRawBinary` aloca o comprimento especificado imediatamente. Isso pode permitir que uma entrada pequena desencadeie uma alocação massiva de memória, levando a um `OutOfMemoryError` em endpoints Smile reativos ou assíncronos. Além disso, um VInt (Inteiro Variável) manipulado para estourar um inteiro pode resultar em um comprimento negativo, causando uma `NegativeArraySizeException`. Ambos os cenários podem travar a requisição ou a thread de processamento.

Um problema de autorização incorreta existe no cache de política ACL. Isso permite que tokens referenciem políticas de namespaces arbitrários por meio do uso de nomes de política especialmente criados. Consequentemente, invasores que possuam esses tokens podem adquirir as capacidades de políticas em cache em outros namespaces, incluindo o namespace raiz, permitindo que operem além dos limites de namespace.

Um problema de use-after-free existe no canal drdynvc. Isso ocorre quando um stream proprietário de pool é liberado usando o desalocador owned-stream porque o `totalLength` é menor que o tamanho do chunk. Um servidor RDP malicioso pode disparar isso enviando um único PDU de Canal Virtual bem formado, resultando no travamento do cliente durante o encerramento.

Uma falha de crescimento ilimitado de fila por conexão existe no `HttpServerCodec`. O codec rastreia o método HTTP de requisições pipelined não respondidas; enquanto as primeiras 32 entradas são compactadas em um único long, as entradas subsequentes são adicionadas ao `methodOverflowQueue` (um `ArrayDeque` sem limite de tamanho ou caminho de rejeição). Um atacante remoto não autenticado pode explorar isso ao realizar pipelining de requisições HTTP/1.1 em uma única conexão e reter as leituras para evitar que as respostas sejam enviadas. Essa ação permite que a fila cresça sem limites, resultando em crescimento ilimitado do heap e negação de serviço.

Um vazamento de ByteBuf ocorre na função `StompSubframeDecoder`. Quando o comprimento de conteúdo declarado de um frame é totalmente lido, o decodificador aloca um buffer de chunk e aguarda o byte NUL de terminação. Se esse byte não for recebido, o buffer não é liberado porque o sinal lançado por `skipNullCharacter()` estende Error em vez de Exception, ignorando o caminho de liberação. Além disso, o decodificador não sobrescreve `handlerRemoved0` ou `channelInactive`, permitindo que o buffer persista após o encerramento do canal. Um peer remoto pode causar esse vazamento enviando um corpo de frame bem formado sem o byte NUL de terminação, podendo levar à exaustão de memória, já que o alocador pool não recupera a memória.

A validação inadequada da codificação de transferência final no cabeçalho `Transfer-Encoding` permite que atacantes realizem o contrabando de requisições (request smuggling) utilizando declarações de codificação malformadas. Isso ocorre quando atacantes dividem o cabeçalho `Transfer-Encoding` em várias linhas ou utilizam valores como `chunked, xchunked` para ignorar a validação. Consequentemente, as mensagens podem ser decodificadas como chunked mesmo quando a codificação final não é chunked.