CVE-2026-44375: Stack Overflow DoS in Nerdbank.MessagePack DateTime Decoding

漏洞概述 标题: Attacker-controlled stackalloc in DateTime decoding causes process-terminating StackOverflowException 严重性: High (CVSS v3 base metrics: 7.5 / 10) CVE ID: CVE-2026-44375 CWE ID: CWE-789 (Uncontrolled Memory Allocation) 发布方: AArnott (Nerdbank.MessagePack 维护者) 发布时间: 3 weeks ago (相对于截图时间) 描述: Nerdbank.MessagePack 在 DateTime 解码中存在一个不受控制的栈分配漏洞。恶意构造的 MessagePack 载荷可以声明一个过大的时间戳扩展长度，导致解析器分配攻击者控制的字节数到栈上。这可能触发 ，该异常无法被用户代码捕获，从而导致进程终止。 影响: 如果应用程序反序列化来自不受信任或攻击者控制的源的数据，并且目标类型包含 值，则受影响。 小型恶意载荷可导致进程终止，造成拒绝服务（DoS），影响服务、API、工作进程、消息消费者或其他长时间运行的进程。 问题根源在于： 时间戳扩展解码器从攻击者控制的扩展长度派生 大小，但未验证该长度是否为合法的 MessagePack 时间戳大小（4、8 或 12 字节）。当缓冲区不完整时，未验证的大小会传播到流式读取器慢路径，并在其中用于 。 --- 影响范围 受影响包: (NuGet) 受影响版本: 修复版本: --- 修复方案 补丁 升级到版本 即可修复此安全漏洞。 临时缓解措施（如无法立即升级） 避免反序列化来自不受信任源的 MessagePack 载荷到可能包含 字段或属性的类型图中。 输入字节大小限制 alone 可能不足以缓解此问题，因为恶意载荷可以很小但声明非常大的扩展长度。可能的缓解措施包括： - 在反序列化前预验证 MessagePack 扩展头，并拒绝长度不是 4、8 或 12 的时间戳扩展。 - 拒绝或过滤类型 ID 为 的时间戳扩展，除非它们来自已知可信的输入。 - 在隔离进程中运行不受信任载荷的反序列化，该进程可在终止后安全重启。 - 将 MessagePack 反序列化限制为仅信任的生产者，直到补丁版本可用。 --- 参考链接 CWE-789: Uncontrolled Memory Allocation MessagePack timestamp extension specification

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-44375: Stack Overflow DoS in Nerdbank.MessagePack DateTime Decoding

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-44375: Stack Overflow DoS in Nerdbank.MessagePack DateTime Decoding

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！