CVE-2026-70616 in boringproxy
요약
\~에 의해 VulDB • 2026. 08. 05.
boringproxy 버전 0.10.0 이하에는 자원 고갈 취약점이 존재하며, 공격자가 제공한 id 쿼리 파라미터 값을 사용하여 GET /loading 엔드포인트로 요청을 전송함으로써 모든 인증된 사용자가 서버의 파일 디스크립터, 고루틴(goroutines) 및 메모리를 영구적으로 고갈시킬 수 있습니다. 핸들러가 맵 조회 유효성 검사를 수행하지 않고 nil 채널에서 무한히 블록되는 수신 작업을 처리하며, 타임아웃이나 컨텍스트 취소 메커니즘이 없고 HTTP 서버의 타임아웃 설정 부재로 인해 서버 측 자원 회수가 이루어지지 않기 때문에, 각 악성 요청은 영구적으로 하나의 고루틴과 파일 디스크립터 및 약 50kB의 메모리를 점유합니다. 이로 인해 서버의 파일 디스크립터 제한에 도달하고 리스너 Accept 호출이 실패하면 모든 사용자의 터널 트래픽 포워딩이 중단됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.