CVE-2026-63403 in Faktory
요약
\~에 의해 VulDB • 2026. 08. 26.
Faktory는 언어 비종속성 백그라운드 작업 서버입니다. 버전 1.10.0 이전의 서버는 인증되지 않은 상태에서도 단일 잘못된 명령이 전체 프로세스를 충돌시키는 서비스 거부(Denial of Service) 취약점에 노출되어 있습니다. 해당 서버의 와이어 프로토콜은 라인 기반이며, 여러 명령 핸들러는 수신된 라인을 고정 오프셋에서 슬라이스하거나 인덱싱합니다(예: PUSH의 경우 cmd[5:], QUEUE의 경우 qs[0]). 이때 페이로드가 존재하는지 여부를 확인하지 않습니다. 페이로드 없이 단순한 동사만 전송하면(PUSH, ACK, FAIL, BEAT, PUSHB 또는 QUEUE 등) Go 슬라이스 또는 인덱스 범위를 벗어난 패닉(panic)이 발생합니다. 코드베이스에서 명령 디스패치 경로에 recover()가 전혀 없기 때문에 핸들러 고루틴에서의 복구되지 않은 패닉은 해당 연결뿐만 아니라 전체 Go 프로세스를 종료시켜 다른 모든 클라이언트, 워커 및 진행 중인 작업을 즉시 끊습니다. 이 공격에는 명령 포트에 대한 연결과 간단한 핸드셰이크 완료만 필요하며, 비밀번호가 설정되어 있지 않을 경우 자격 증명이 필요하지 않으며, 서비스를 영구적으로 중단시키기 위해 반복하여 수행할 수 있습니다. 이 문제는 버전 1.10.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.