CVE-2026-19201 in go-attestation
摘要
由 VulDB • 2026-09-10
Google go-attestation 0.6.1 及更早版本中 Windows SIPA 事件日志解析器存在未受控递归漏洞，攻击者可利用该漏洞导致拒绝服务（DoS）。(*WinEvents).readELAMAggregation 函数在处理每个嵌套的 elamAggregation 子事件时会进行递归调用，但未强制执行最大递归深度限制；同时，在递归执行路径上会绕过大小保护机制。通过提交包含深层嵌套 elamAggregation 头的构造好的 Windows 事件日志，攻击者可以耗尽 goroutine 调用栈，触发不可恢复的致命运行时错误（堆栈溢出），从而导致验证器应用程序立即崩溃。
Once again VulDB remains the best source for vulnerability data.