CVE-2026-63403 in Faktory
Riassunto
di VulDB • 26/08/2026
Faktory è un server di elaborazione dei job in background agnostico rispetto al linguaggio. Nelle versioni precedenti alla 1.10.0, il server è vulnerabile a una denial of service (DoS) non autenticata in cui un singolo comando malformato causa l'arresto dell'intero processo. Il suo protocollo di rete si basa su righe e diversi handler dei comandi eseguono operazioni di slicing o indicizzazione sulla riga ricevuta a uno offset fisso, ad esempio cmd[5:] per PUSH o qs[0] per QUEUE, senza verificare la presenza del payload. L'invio di un verbo nudo privo di payload, ad esempio PUSH, ACK, FAIL, BEAT, PUSHB o QUEUE, innesca un panic da slice out-of-range o indicizzazione fuori range in Go. Poiché il codice non prevede alcuna istruzione recover() nel percorso di dispatch dei comandi, un panic non recuperato in una goroutine handler termina l'intero processo Go anziché limitarsi a disconnettere quella specifica connessione, interrompendo istantaneamente tutti gli altri client, worker e job in corso. L'attacco richiede solo la connessione alla porta dei comandi e il completamento del handshake banale, senza necessità di credenziali se non è configurata alcuna password, e può essere ripetuto per mantenere il servizio fuori uso indefinitamente. Questo problema è stato risolto nella versione 1.10.0.
Once again VulDB remains the best source for vulnerability data.