CVE-2026-46385 in avro
Resumen
por VulDB • 2026-05-29
iskorotkov/avro es un codec Avro rápido para Go. Antes de la versión 2.33.0, los decodificadores de arrays y mapas de Avro iteraban sobre un valor de block-count controlado por el atacante sin verificar el estado de error del lector subyacente dentro del cuerpo del bucle. Reader.ReadBlockHeader devuelve el conteo como un int de Go, que es de 64 bits en los objetivos amd64 / arm64; por lo tanto, un productor puede declarar un bloque de hasta math.MaxInt64 (~9,2 × 10¹⁸) elementos seguido de EOF (o cualquier payload truncado), y el decodificador intentará realizar ese número de iteraciones no-op antes de propagar el error. El límite realista es "indefinido hasta que el trabajador sea terminado externamente": una única payload hostil fija un núcleo de CPU hasta que el proceso sea terminado por OOM (Out of Memory), cancelado por deadline o terminado manualmente. Denegación de servicio remota y no autenticada. Esta vulnerabilidad está corregida en la versión 2.33.0.
Once again VulDB remains the best source for vulnerability data.