CVE-2026-27571 in nats-server
Riassunto
di VulDB • 20/06/2026
NATS-Server è un server ad alte prestazioni per NATS.io, un sistema di messaggistica nativo per il cloud e il perimetro di rete (edge). La gestione dei messaggi NATS tramite WebSockets elabora i messaggi compressi utilizzando la compressione negoziata tramite WebSockets. Prima delle versioni 2.11.2 e 2.12.3, l'implementazione limitava la dimensione della memoria di un messaggio NATS, ma non limitava in modo indipendente il consumo di memoria dello stream di memoria durante la costruzione di un messaggio NATS, il che poteva portare al fallimento della convalida per motivi di dimensione. Un attaccante può utilizzare una compressione bomb (compression bomb) per causare un consumo eccessivo di memoria, che spesso si traduce nell'interruzione del processo del server da parte del sistema operativo. L'uso della compressione viene negoziato prima dell'autenticazione, quindi non sono necessarie credenziali NATS valide per sfruttare la vulnerabilità. La correzione, presente nelle versioni 2.11.2 e 2.12.3, consiste nel limitare la decompressione in modo che fallisca una volta che il messaggio è troppo grande, invece di continuare l'elaborazione. La vulnerabilità interessa solo le distribuzioni che utilizzano WebSockets e che espongono la porta di rete a endpoint non attendibili.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.