PT-2026-33379 · Zrok · Zrok

Publicado 2026-04-16 · Atualizado 2026-04-18 · CVE-2026-40303

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions zrok versões anteriores a 2.0.1

Description A função GetSessionCookie() no módulo endpoints analisa a contagem de fragmentos de cookie fornecida por um invasor e chama make([]string, count) sem um limite superior antes da validação do token. Isso ocorre em cada solicitação a um compartilhamento de proxy protegido por OAuth, afetando especificamente o publicProxy e o dynamicProxy. Um invasor remoto não autenticado pode enviar uma única solicitação HTTP com um cabeçalho Cookie manipulado para disparar alocações de heap em escala de gigabytes, levando à terminação do processo por falta de memória (OOM) ou pânicos repetidos de goroutine, o que resulta em negação de serviço para todos os usuários dos compartilhamentos atendidos pelo proxy.

Recommendations Atualizar para a versão 2.0.1.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

CWE-789

Identificadores relacionados

CVE-2026-40303

GHSA-CPF9-PH2J-CCR9

Produtos afetados

Zrok

Referências · 8

• https://github.com/openziti/zrok · Nota
• https://github.com/openziti/zrok/releases/tag/v2.0.1 · Nota
• https://github.com/openziti/zrok/security/advisories/GHSA-cpf9-ph2j-ccr9 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2045467390176108563 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2045268266189283787 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-cpf9-ph2j-ccr9 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2044932977440809085 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40303 · Nota de Segurança