CVE-2026-35469
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Go spdystream (wersje 0.5.0 i poniżej) polegająca na braku walidacji rozmiarów przed alokacją pamięci w parserze ramek SPDY/3. Atakujący może wysłać spreparowaną ramkę sterującą, powodując wyczerpanie pamięci i awarię procesu.
Ocena ryzyka
Zdalny atakujący może doprowadzić do awarii usługi (DoS) poprzez wysłanie małego pakietu, który po dekompresji powoduje nadmierną alokację pamięci.
Rekomendacja
Zaktualizuj bibliotekę spdystream do wersji 0.5.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
spdystream is a Go library for multiplexing streams over SPDY connections. In versions 0.5.0 and below, the SPDY/3 frame parser does not validate attacker-controlled counts and lengths before allocating memory. Three allocation paths are affected: the SETTINGS frame entry count, the header count in parseHeaderValueBlock, and individual header field sizes — all read as 32-bit integers and used directly as allocation sizes with no bounds checking. Because SPDY header blocks are zlib-compressed, a small on-the-wire payload can decompress into large attacker-controlled values. A remote peer that can send SPDY frames to a service using spdystream can exhaust process memory and cause an out-of-memory crash with a single crafted control frame. This issue has been fixed in version 0.5.1.