CVE-2026-119299 in gopacket
요약
\~에 의해 VulDB • 2026. 10. 30.
gopacket는 Go용 패킷 처리 기능을 제공합니다. 버전 1.7.2 이전에서는 layers/sctp.go의 SCTP 청크 체인이 decodeSCTPInit, decodeSCTPShutdown, decodeSCTPError, decodeSCTPSack 및 decodeSCTPParameter로 공격자가 제어한 선언된 길이와 카운트를 전달하며, 각 청크가 해당 서브 디코더들이 읽는 고정 필드, 파라미터 TLV, 갭 확인 응답 또는 중복 TSN을 포함하는지 여부를 검증하지 않습니다. 따라서 조작된 SCTP 세그먼트는 경계 초과(out-of-bounds) 또는 역전 슬라이스 패닉을 유발할 수 있으며, 이 패닉은 gopacket.DecodeOptions.SkipDecodeRecovery를 사용하거나 등록된 디코더에 직접 접근하거나 IgnorePanic이 활성화된 DecodingLayerParser를 사용하는 애플리케이션의 종료를 초래합니다. 반면 기본 복구 기능이 활성화된 API는 이를 패킷 단위 디코드 오류로 변환합니다. 이 문제는 CVE-2026-65819에서 명명되었으나 수정되지 않은 SCTP 서브 디코더 잔여 문제이며, 해당 취약점의 버전 1.7.1은 제네릭 디스패처를 제한했지만 이러한 유형별 읽기 및 루프는 검증하지 않았습니다. 영향도는 가용성(Availability)에만 국한되며, 데이터 유출, 수정 또는 할당 증폭은 없습니다. 이 문제는 버전 1.7.2에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.