CVE-2026-63403 in Faktory
Zusammenfassung
von VulDB • 26.08.2026
Faktory ist ein sprachunabhängiger Hintergrund-Job-Server. In Versionen vor 1.10.0 ist der Server anfällig für eine nicht authentifizierte Denial-of-Service (DoS)-Attacke, bei der ein einzelner fehlerhafter Befehl den gesamten Prozess zum Absturz bringt. Sein Drahtprotokoll (Wire Protocol) ist zeilenbasiert, und mehrere Befehls-Handler schneiden oder indizieren die empfangene Zeile an einem festen Offset, wie z.B. cmd[5:] für PUSH oder qs[0] für QUEUE, ohne zu prüfen, ob ein Payload vorhanden ist. Das Senden eines reinen Verbs ohne Payload, beispielsweise PUSH, ACK, FAIL, BEAT, PUSHB oder QUEUE, löst einen Go-Slice-Index-Out-of-Bounds-Panic aus. Da der Codebase im gesamten Befehls-Dispatch-Pfad keine recover()-Aufrufe enthält, führt ein nicht behandelter Panic in einer Handler-Goroutine zum Beenden des gesamten Go-Prozesses und nicht nur dieser Verbindung, wodurch sofort alle anderen Clients, Worker und laufenden Jobs getrennt werden. Der Angriff erfordert lediglich eine Verbindung zum Befehlshafen sowie die Durchführung des trivialen Handshakes; bei keiner konfigurierten Passwortschutz sind keine Anmeldeinformationen erforderlich, und der Vorgang kann wiederholt werden, um den Dienst unbegrenzt lahmzulegen. Dieses Problem wurde in Version 1.10.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.