PT-2026-21803 · Fiber · Fiber
Tuliperis
·
Publicado
2026-02-24
·
Atualizado
2026-03-03
·
CVE-2026-25899
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Fiber anteriores à 3.1.0
Descrição
O uso do cookie
fiber flash pode levar a uma alocação ilimitada em qualquer servidor. Um valor de cookie de 10 caracteres especialmente manipulado dispara uma tentativa de alocar até 85GB de memória através de desserialização msgpack não validada. Nenhuma autenticação é necessária, e todo endpoint do GoFiber v3 é afetado, independentemente de a aplicação utilizar mensagens flash ou não. O problema origina-se na função parseAndClearFlashMessages(), que decodifica o valor do cookie em hexadecimal e o passa diretamente para a desserialização msgpack sem validação de tamanho ou conteúdo. A desserialização auto-gerada tinylib/msgp lê um cabeçalho de array uint32 do fluxo de bytes controlado pelo atacante e o usa diretamente em uma chamada make(), resultando na alocação ilimitada. A função vulnerável é UnmarshalMsg(). O valor do cookie é um cabeçalho msgpack array32 codificado em hexadecimal.Recomendações
Atualize para a versão 3.1.0 ou posterior do Fiber.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Fiber