CVE-2026-97705 in Moleculer
要約
〜によって VulDB • 2026年11月04日
MoleculerはNode.js向けのプログレッシブなマイクロサービスフレームワークです。バージョン0.14.36および0.15.2以前では、src/transporters/tcp/parser.js内のParser._writeがBuffer.prototype.readInt32BEを使用して符号付きパケット長を読み取っていたため、リモートからの認証不要のピアが悪意のある負の値を供給し、packet.slice(length)が変更されていないバッファを返す一方で、while (packet.length > 0) ループが無限に継続する可能性があります。この同期ループはNode.jsイベントループをブロックし、プロセス内のすべてのサービスが再起動まで応答不能になります。TCPトランスポーターが有効で到達可能である必要があり、CRC検証やmaxPacketSizeでは不正な長さ値を防ぐことはできません。本問題はバージョン0.14.36および0.15.2で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.