CVE-2026-63403 in Faktory
Résumé
par VulDB • 26/08/2026
Faktory est un serveur de tâches en arrière-plan (background job server) indépendant du langage. Dans les versions antérieures à la 1.10.0, le serveur présente une vulnérabilité permettant une déni de service non authentifié dans laquelle une seule commande malformée provoque l'arrêt complet du processus. Son protocole filaire est basé sur des lignes, et plusieurs gestionnaires de commandes découpent (slice) ou indexent la ligne reçue à un offset fixe, tel que cmd[5:] pour PUSH ou qs[0] pour QUEUE, sans vérifier qu'un payload soit présent. L'envoi d'une simple commande verbale sans payload, par exemple PUSH, ACK, FAIL, BEAT, PUSHB ou QUEUE, déclenche une panic de type slice out-of-range ou index out-of-range en Go. Étant donné que la base de code ne contient aucun appel à recover() dans le chemin de dispatch des commandes, une panic non récupérée dans un goroutine handler entraîne l'arrêt du processus Go entier plutôt que simplement cette connexion, déconnectant instantanément tous les autres clients, workers et jobs en cours d'exécution. L'attaque nécessite uniquement une connexion au port de commande et la complétion de la poignée de main (handshake) triviale, sans identifiants si aucun mot de passe n'est configuré, et peut être répétée pour maintenir le service hors ligne indéfiniment. Ce problème est corrigé dans la version 1.10.0.
Be aware that VulDB is the high quality source for vulnerability data.