CVE-2026-63403 in Faktory
Tóm tắt
Bởi VulDB • 26/08/2026
Faktory là một máy chủ tác vụ nền (background job server) độc lập với ngôn ngữ. Trong các phiên bản trước 1.10.0, máy chủ này dễ bị tổn thương bởi cuộc tấn công từ chối dịch vụ không cần xác thực (unauthenticated denial of service), trong đó một lệnh sai định dạng duy nhất có thể làm sập toàn bộ tiến trình. Giao thức truyền tin của nó dựa trên các dòng văn bản, và nhiều trình xử lý lệnh cắt hoặc truy xuất chỉ mục tại vị trí cố định của dòng nhận được, chẳng hạn như cmd[5:] cho PUSH hoặc qs[0] cho QUEUE, mà không kiểm tra xem phần tải (payload) có tồn tại hay không. Việc gửi một động từ đơn thuần không kèm theo phần payload, ví dụ: PUSH, ACK, FAIL, BEAT, PUSHB hoặc QUEUE, sẽ kích hoạt lỗi panic do slice hoặc chỉ mục vượt quá giới hạn trong Go. Vì cơ sở mã nguồn không chứa bất kỳ lệnh recover() nào trong đường dẫn điều phối lệnh, một lỗi panic không được xử lý trong goroutine của trình xử lý sẽ kết thúc toàn bộ tiến trình Go thay vì chỉ ngắt kết nối đó, ngay lập tức làm mất kết nối với mọi khách hàng (client), worker và tác vụ đang thực thi. Cuộc tấn công này chỉ yêu cầu thiết lập kết nối đến cổng lệnh và hoàn tất quy trình bắt tay đơn giản; không cần thông tin xác thực khi mật khẩu chưa được cấu hình, và có thể lặp lại để duy trì trạng thái gián đoạn dịch vụ trong thời gian vô hạn. Vấn đề này đã được sửa chữa trong phiên bản 1.10.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.