CVE-2026-58250

NATS Server — crash serwera przez nieuwierzytelniony węzeł leafnode

CVSS 7.5v3.1pub. 2026-07-08upd. 2026-07-13

Podatność w NATS Server umożliwia nieuwierzytelnionemu atakującemu zdalne wywołanie awarii (crash) serwera poprzez wysyłanie spreparowanych wiadomości protokołu INFO do listenera leafnode z włączoną kompresją. Luka jest szczególnie groźna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

NATS Server is a high-performance server for NATS.io, the cloud and edge native messaging system. Prior to 2.12.8 and 2.11.17, an unauthenticated peer with network access to a leafnode listener with compression enabled could crash the server during the pre-authentication leafnode handshake by sending repeated leafnode INFO protocol messages before authentication and account setup completed. This issue is fixed in versions 2.12.8 and 2.11.17.

🤖 Analiza AI

Jak działa

Przed ukończeniem procesu uwierzytelniania i konfiguracji konta, atakujący z dostępem sieciowym do listenera leafnode może wielokrotnie wysyłać wiadomości protokołu leafnode INFO. Gdy kompresja jest włączona na listenerze, nieprawidłowa obsługa tych wiadomości podczas wstępnego handshake'u prowadzi do dereferencji pustego wskaźnika (NULL pointer dereference, CWE-476), skutkującej awaryjnym zatrzymaniem procesu serwera.

Skutki

Atakujący może spowodować całkowite zatrzymanie (crash) serwera NATS, co prowadzi do odmowy usługi (DoS) i przerwania przetwarzania komunikatów dla wszystkich podłączonych klientów i systemów zależnych.

Mitygacja

Należy zaktualizować NATS Server do wersji 2.12.8 lub 2.11.17. Jako obejście można rozważyć wyłączenie kompresji na listenerze leafnode do czasu zastosowania patcha. Patche dostępne są w oficjalnym repozytorium projektu.