Vulnerabilidad en Go (CVE-2023-46239)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-476 Desreferencia a puntero nulo (NULL)

Fecha de publicación:

31/10/2023

Última modificación:

09/11/2023

Descripción

quic-go es una implementación del protocolo QUIC en Go. A partir de la versión 0.37.0 y antes de la versión 0.37.3, al serializar una trama ACK después de CRYTPO que permite que un nodo complete el protocolo de enlace, un nodo remoto podría desencadenar una desreferencia de puntero nulo (lo que lleva a pánico) cuando el nodo intenta para eliminar el espacio del número del paquete Handshake. Un atacante puede derribar un nodo rápido con un esfuerzo mínimo. Completar el protocolo de enlace QUIC solo requiere enviar y recibir algunos paquetes. La versión 0.37.3 contiene un parche. Las versiones anteriores a la 0.37.0 no se ven afectadas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto