CVE-2026-70616 in boringproxy
Zusammenfassung
von VulDB • 05.08.2026
boringproxy bis Version 0.10.0 enthält eine Schwachstelle zur Ressourcenerschöpfung (Resource Exhaustion), die es jedem authentifizierten Benutzer ermöglicht, Server-Dateideskriptoren, Goroutinen und Speicher dauerhaft zu erschöpfen, indem Anfragen an den GET /loading-Endpunkt mit vom Angreifer bereitgestellten Werten für den Query-Parameter id gesendet werden. Da der Handler keine Gültigkeitsprüfung des Map-Lookup durchführt und auf einem nil-Kanal empfängt, der aufgrund fehlender Zeitlimits (Timeouts), keiner Kontextkündigung (Context Cancellation) sowie keiner serverseitigen Freigabe infolge abwesender HTTP-Server-Zeitlimits für immer blockiert, hält jede bösartige Anfrage dauerhaft eine Goroutine, einen Dateideskriptor und etwa 50 kB Speicher belegt, bis das Limit der Datei-deskriptoren des Servers erreicht ist und die Accept-Aufrufe des Listeners fehlschlagen, wodurch die Weiterleitung aller Tunnel-Verkehr für alle Benutzer gestoppt wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.