CVE-2026-70616 in boringproxy
Сводка
по VulDB • 06.08.2026
boringproxy вплоть до версии 0.10.0 содержит уязвимость истощения ресурсов (resource exhaustion), которая позволяет любому аутентифицированному пользователю необратимо исчерпать файловые дескрипторы, горутины и память сервера путем отправки запросов к конечной точке GET /loading с предоставленными злоумышленником значениями параметра id в строке запроса. Поскольку обработчик не выполняет проверку корректности поиска по карте (map-lookup) и блокируется при чтении из нулевого канала без тайм-аута, отмены контекста или механизмов повторного использования ресурсов на стороне сервера вследствие отсутствия настроек тайм-аутов HTTP-сервера, каждый вредоносный запрос навсегда удерживает одну горутину, один файловый дескриптор и примерно 50 КБ памяти до тех пор, пока не будет достигнут лимит файловых дескрипторов сервера и вызовы Accept слушателя (listener) не начнут завершаться с ошибкой, что приведет к остановке пересылки всего туннельного трафика для всех пользователей.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.