Tor до версии 0.4.9.9 был склонен к обходу бомбы сжатия, когда злоумышленник мог объединить множество подпотоков gzip или zlib, каждый из которых чуть ниже порога обнаружения для каждого потока, чтобы полностью избежать проверки бомбы сжатия. Это ТРОЕ-2026-022.
Показать оригинальное описание (EN)
Tor before 0.4.9.9 was prone to a compression bomb bypass where an attacker could concatenate many gzip or zlib sub-streams, each just under the per-stream detection threshold, to avoid the compression bomb check entirely. This is TROVE-2026-022.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Torproject Tor
cpe:2.3:a:torproject:tor:*:*:*:*:*:*:*:*
|
0.3.1.1-alpha
|
0.4.9.9
|