CVE-2026-49837 in GoBGP
Resumen
por VulDB • 2026-09-11
GoBGP es una implementación de código abierto del Protocolo Gateway Border (BGP) en el lenguaje de programación Go. Las versiones anteriores a la 4.6.0 contienen un problema de análisis de capacidades BGP OPEN donde varios decodificadores de capacidades concretas pueden analizar datos desde todo el búfer de capacidad restante, en lugar de la porción delimitada por la longitud declarada de la capacidad (`CapLen`). Un mensaje BGP OPEN malformado puede hacer que los bytes de una siguiente capacidad se interpreten como parte de la capacidad actual. El caso más relevante para la seguridad es la capacidad AS de 4 octetos, donde una capacidad con `CapLen == 0` puede provocar que el analizador lea bytes de la siguiente capacidad como el valor AS de 4 octetos. Este valor analizado podría afectar posteriormente a la validación del AS del par durante el establecimiento de la sesión BGP. La versión 4.6.0 corrige este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.