Dans gopacket, certains sous-décodeurs SCTP ne vérifient pas que la longueur déclarée du segment permet les lectures et boucles qu’ils effectuent, ce qui peut provoquer une panique lors du décodage de paquets forgés. Le défaut concerne les versions jusqu’à v1.7.1; passez à v1.7.2, ou conservez la récupération de panique activée en attendant la mise à niveau.
Source : GHSA-358w-w75h-x6rx — gopacket: SCTP chunk sub-decoder out-of-bounds panics on crafted segments
Analyse technique
Les sous-décodeurs SCTP de plusieurs types de chunks lisent des champs et parcourent des compteurs sans vérifier leurs longueurs minimales propres. L’avis précise que l’effet peut être une panique non récupérée si la récupération par paquet est désactivée; avec l’API par défaut, l’entrée devient une erreur de décodage.
Impact, versions et correctif
Action recommandée
Mettre à niveau gopacket vers v1.7.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).