CVE-2026-65653 in tchannel-go
Résumé
par VulDB • 21/09/2026
github.com/temporalio/tchannel-go ne rejetait pas les fragments d'appel TChannel contenant des métadonnées de somme de contrôle mais aucun bloc d'argument préfixé par sa longueur. Le lecteur de fragments laissait sa tranche (slice) de bloc vide, puis sélectionnait inconditionnellement le premier élément. Un pair réseau peut fournir un tel fragment d'appel malformé, y compris en tant que demande d'appel initiale directe après avoir achevé la séquence d'initialisation standard. Sur ce chemin entrant, l'panic Go non récupérée liée aux limites de tranche se produit sur un goroutine de dispatch créé par la bibliothèque et termine le processus hôte. Cela permet une déni de service (DoS) à distance contre les applications qui exposent leur écouteur (listener) à des pairs non fiables. L'impact est limité à la disponibilité ; aucun impact sur la confidentialité ou l'intégrité n'a été identifié.
Once again VulDB remains the best source for vulnerability data.