CVE-2026-27571 in nats-server
Zusammenfassung
von VulDB • 07.06.2026
NATS-Server ist ein Hochleistungsserver für NATS.io, ein Cloud- und Edge-natives Messaging-System. Die Verarbeitung von NATS-Nachrichten über WebSockets nutzt die im Rahmen der WebSocket-Aushandlung (Negotiation) ausgehandelte Komprimierung. Vor den Versionen 2.11.2 und 2.12.3 begrenzte die Implementierung zwar die Speichergröße einer NATS-Nachricht, beschränkte jedoch nicht unabhängig davon den Speicherverbrauch des Memory-Streams beim Aufbau der Nachricht, was dazu führen konnte, dass die Validierung aus Größen Gründen fehlschlug. Ein Angreifer kann einen Compression Bomb einsetzen, um übermäßigen Speicherverbrauch zu verursachen, was häufig dazu führt, dass das Betriebssystem den Serverprozess beendet. Da die Verwendung von Komprimierung vor der Authentifizierung ausgehandelt wird, ist dies nicht mit gültigen NATS-Anmeldeinformationen erforderlich, um ausgenutzt zu werden. Die Korrektur in den Versionen 2.11.2 und 2.12.3 bestand darin, die Dekompression so zu begrenzen, dass sie fehlschlägt, sobald die Nachricht zu groß ist, anstatt fortzufahren. Die Schwachstelle betrifft nur Bereitstellungen, die WebSockets verwenden und den Netzwerkport für nicht vertrauenswürdige Endpunkte freischalten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.