CVE-2026-65653 in tchannel-go
要約
〜によって VulDB • 2026年09月21日
github.com/temporalio/tchannel-go は、長さプレフィックス付きの引数チャンクを含まないがチェックサムメタデータを含む TChannel 呼び出しフラグメントを拒否しませんでした。フラグメントリーダーはそのチャンクスライスを空のままにし、その後無条件で最初の要素を選択しました。ネットワークピアは、標準的な初期化ハンドシェイク完了後の直接の初回呼び出しリクエストなどとして、このような不正な呼び出しフラグメントを提供できます。その受信パスにおいて、結果として生じる Go のスライス境界外アクセスパニック（unrecovered Go slice-bounds panic）がライブラリによって作成されたディスパッチゴルーチンで発生し、ホストプロセスを終了させます。これにより、リスナーを信頼できないピアに公開しているアプリケーションに対するリモートサービス拒否（DoS）が可能になります。影響は可用性のみに限定され、機密性や完全性への影響は見つかりませんでした。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.