gotd/td — это API-клиент T Telegram MTProto в Go. До версии 0.145.1 proto.UnencryptedMessage.Decode в proto/unencrypted_message.go считывал dataLen, контролируемый злоумышленником, из неаутентифицированного незашифрованного пакета MTProto и выделял make([]byte, dataLen) перед проверкой оставшегося буфера, позволяя осуществлять удаленный отказ в обслуживании без аутентификации из-за чрезмерного выделения памяти и нагрузки на процессор или сборку мусора. Эта проблема исправлена в версии 0.145.1.
Показать оригинальное описание (EN)
gotd/td is a T Telegram MTProto API client in Go. Prior to 0.145.1, proto.UnencryptedMessage.Decode in proto/unencrypted_message.go read attacker controlled dataLen from an unauthenticated MTProto unencrypted packet and allocated make([]byte, dataLen) before checking the remaining buffer, allowing remote unauthenticated denial of service through excessive memory allocation and CPU or garbage collection pressure. This issue is fixed in version 0.145.1.
Характеристики атаки
Последствия
Строка CVSS v3.1