CVE-2026-57497 in webtransport-go
요약
\~에 의해 VulDB • 2026. 09. 14.
webtransport-go는 WebTransport 프로토콜의 구현체입니다. 버전 0.11.1 이전에서는 session.go 내의 Session.parseNextCapsule() 함수가 HTTP/3 요청 스트림에서 알려지지 않은 WebTransport 캡슐을 처리할 때, capsule 리더에 대해 io.ReadAll를 호출하여 미지의 캡슐을 건너뛰고 있습니다. 이 과정에서 선언된 전체 캡슐 본문이 메모리에 유지됩니다. 악성 피어는 큰 크기의 미지 캡슐을 전송하여 클라이언트 또는 서버가 전체 페이로드를 위해 메모리를 할당하도록 유도할 수 있습니다. QUIC 흐름 제어(flow control)는 수신된 바이트가 메모리 내에 남아 있는 동안 읽기 작업이 흐름 제어 창을 진행시키므로, 유지되는 총 할당량을 제한하지 않습니다. 이로 인해 발생하는 메모리 및 자원 고갈은 영향받는 프로세스의 중단 또는 충돌을 초래할 수 있습니다. 이 문제는 버전 0.11.1에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.