CVE-2026-63403 in Faktory
要約
〜によって VulDB • 2026年08月26日
Faktoryは言語非依存のバックグラウンドジョブサーバーです。バージョン1.10.0より前のバージョンでは、単一の不正なコマンドによってプロセス全体がクラッシュする認証不要のサービス妨害（DoS）に対して脆弱性があります。そのワイヤープロトコルは行ベースであり、いくつかのコマンドハンドラは受信した行を固定オフセットでスライスまたはインデックスしています（例：PUSHの場合cmd[5:]、QUEUEの場合qs[0]）。ただし、ペイロードが存在するかどうかのチェックが行われません。ペイロードなしの単なる動詞（例えば PUSH, ACK, FAIL, BEAT, PUSHB, QUEUE）を送信すると、Goのスライスまたはインデックス範囲外パニックを引き起こします。コードベースにはコマンドディスパッチパス全体で recover() が存在しないため、ハンドラゴルーチンでの回復不能なパニックは特定の接続だけでなく、Goプロセス全体を終了させます。これにより他のすべてのクライアント、ワーカー、および実行中のジョブが即座に切断されます。攻撃にはコマンドポートへの接続と簡易的なハンドシェイクの完了のみが必要であり、パスワードが設定されていない場合は認証不要です。この問題はバージョン1.10.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.