CVE-2026-49837
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
GoBGP, implementacja protokołu BGP w języku Go, w wersjach przed 4.6.0 ma problem z parsowaniem zdolności (capabilities) w komunikacie BGP OPEN — kilka dekoderów może czytać dane z całego pozostałego bufora zamiast z wycinka ograniczonego zadeklarowaną długością CapLen. Wadliwy komunikat OPEN może spowodować, że bajty kolejnej zdolności zostaną zinterpretowane jako część bieżącej; najistotniejszy przypadek dotyczy zdolności 4-oktetowego AS, gdzie CapLen == 0 może spowodować odczyt bajtów następnej zdolności jako wartości AS. Ta wartość może później wpłynąć na walidację AS peera podczas ustanawiania sesji BGP. Wersja 4.6.0 naprawia problem.
Ocena ryzyka
Atakujący może wpłynąć na walidację numeru AS peera podczas ustanawiania sesji BGP, co potencjalnie umożliwia obejście kontroli i nieprawidłowe zestawienie sesji.
Rekomendacja
Zaktualizuj GoBGP do wersji 4.6.0 lub nowszej. Do czasu aktualizacji rozważ ograniczenie akceptowanych peerów BGP do zaufanych adresów.
Inne podatności w GoBGP
Zobacz wszystkie- CVE-2026-37461Wysokie
W funkcji ParseIP6Extended w gobgp v4.3.0 występuje odczyt poza zakresem, co pozwala atakującym na spowodowanie Denial of Service (DoS) poprzez dostarczenie spreparowanej wiadomości BGP UPDATE.
- CVE-2026-49838Średnie
GoBGP, implementacja protokołu BGP w języku Go, przed wersją 4.7.0 akceptuje AS_PATH o zerowej długości podczas dekodowania komunikatu UPDATE, a następnie ulega panice przy walidacji tego atrybutu dla peera konfederacji eBGP. Wadliwy komunikat UPDATE, który powinien zostać odrzucony jako nieprawidłowy AS_PATH, trafia do niezabezpieczonego dostępu p.Value[0], co pozwala skonfigurowanemu peerowi konfederacji eBGP wywołać odmowę usługi. Wersja 4.7.0 naprawia problem.
- CVE-2026-37462Wysokie
Niedomiar liczby całkowitej w funkcji BGPUpdate.DecodeFromBytes w pliku /bgp/bgp.go narzędzia gobgp w wersji v4.3.0. Atakujący może spowodować odmowę usługi poprzez wysłanie spreparowanej wiadomości BGP UPDATE.
- CVE-2026-42285Wysokie
W wersji 4.4.0 GoBGP, nieautoryzowany zdalny partner BGP może wywołać krytyczny błąd, wysyłając specjalnie skonstruowaną wiadomość BGP UPDATE. Błąd ten prowadzi do awarii całego procesu GoBGP, co skutkuje całkowitą utratą dostępności usługi.
- CVE-2026-41643Wysokie
GoBGP, otwartoźródłowa implementacja protokołu BGP w języku Go, przed wersją 4.3.0 zawiera podatność na zdalny atak typu Denial of Service (DoS). Błędnie sformatowana wiadomość BGP UPDATE może spowodować błąd wykonania związany z indeksem poza zakresem.
- CVE-2026-41642Wysokie
W wersji 4.3.0 GoBGP, implementacji protokołu BGP, występuje zdalna podatność na Denial of Service (DoS) spowodowana dereferencją wskaźnika nil. Złośliwy komunikat BGP UPDATE z nieznanym atrybutem ścieżki oznaczonym jako 'Well-known' prowadzi do awarii procesu.
- CVE-2026-7737Średnie
W osrg GoBGP do wersji 4.3.0 wykryto podatność w funkcjach BMPPeerUpNotification.ParseBody i BMPStatisticsReport.ParseBody w pliku pkg/packet/bmp/bmp.go (komponent BMP Parser). Manipulacja danymi prowadzi do odczytu poza granicami bufora, a atak można zainicjować zdalnie. Poprawka jest dostępna w wersji 4.4.0 (commit bc77597d42335c78464bc8e15a471d887bbdf260).
- CVE-2026-7734Średnie
W osrg GoBGP do wersji 4.3.0 wykryto podatność w funkcji SRv6L3ServiceAttribute.DecodeFromBytes w pliku pkg/packet/bgp/prefix_sid.go (komponent SRv6 L3 Service). Manipulacja argumentem data prowadzi do odmowy usługi, a atak można przeprowadzić zdalnie. Poprawka jest dostępna w wersji 4.4.0 (commit f9f7b55ec258e514be0264871fa645a2c3edad11).
Oryginalny opis (angielski, źródło NVD)
GoBGP is an open source Border Gateway Protocol (BGP) implementation in the Go Programming Language. Versions prior to 4.6.0 contain a BGP OPEN capability parsing issue where several concrete capability decoders may parse data from the full remaining capability buffer instead of the slice bounded by the declared capability length, `CapLen`. A malformed BGP OPEN message can cause bytes from a following capability to be interpreted as part of the current capability. The most security-relevant case is the 4-octet AS capability, where a capability with `CapLen == 0` may cause the parser to read bytes from the following capability as the 4-octet AS value. This parsed value may later affect peer AS validation during BGP session establishment. Version 4.6.0 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS