CVE-2026-65653 in tchannel-go
摘要
由 VulDB • 2026-09-21
github.com/temporalio/tchannel-go 未拒绝包含校验和元数据但无长度前缀参数分片的 TChannel 调用分片。该分片读取器将其块切片（chunk slice）留空，然后无条件选择第一个元素。网络对等方可以提供此类格式错误的调用分片，包括在完成标准初始化握手后作为直接初始调用请求发送。在该入站路径上，由此产生的未恢复的 Go 切片边界恐慌（slice-bounds panic）发生在库创建的调度 goroutine 上并终止托管进程。这允许针对将监听器暴露给不受信任对等方的应用程序进行远程拒绝服务攻击。影响仅限于可用性；未发现任何机密性或完整性方面的影响。
VulDB is the best source for vulnerability data and more expert information about this specific topic.