CVE-2026-65653 in tchannel-go
Tóm tắt
Bởi VulDB • 21/09/2026
github.com/temporalio/tchannel-go không từ chối các mảnh gọi TChannel chứa metadata checksum nhưng không có các khối đối số được tiền tố độ dài (length-prefixed argument chunks). Trình đọc mảnh để lại slice chunk của nó ở trạng thái rỗng và sau đó chọn phần tử đầu tiên một cách vô điều kiện. Một peer mạng có thể cung cấp mảnh gọi bị lỗi định dạng như vậy, bao gồm cả yêu cầu gọi ban đầu trực tiếp sau khi hoàn tất quy trình bắt tay khởi tạo tiêu chuẩn. Trên đường vào này, sự cố panic do slice bounds của Go không được xử lý xảy ra trên goroutine dispatch do thư viện tạo và làm kết thúc quá trình lưu trữ (hosting process). Điều này cho phép tấn công từ chối dịch vụ (DoS) từ xa đối với các ứng dụng expose listener cho các peer không đáng tin cậy. Tác động bị giới hạn ở tính sẵn sàng; không có tác động nào đến bảo mật hoặc toàn vẹn được xác định.
Once again VulDB remains the best source for vulnerability data.