ageLANServer: неограниченное выделение памяти в AoE3 Cloud getFileURL (CVE-2026-107839)
В ageLANServer до версии 1.15.2 обнаружена уязвимость неограниченного выделения памяти в обработчике POST /game/cloud/getFileURL игрового сервера Age of Empires III. Неаутентифицированный удалённый клиент может вызвать падение или зависание сервера, разорвав активные сессии игроков. Критичность — высокая (CVSS 7.5).
Подробности
Уязвимость затрагивает ageLANServer версий до 1.15.2 включительно. Причиной является отсутствие ограничения на размер тела запроса и на длину массива имён в JSON, управляемого атакующим, в обработчике AoE3 POST /game/cloud/getFileURL встроенного игрового сервера. Сервер выделяет память под ответ напрямую, исходя из длины этого неограниченного массива. Эксплуатация не требует аутентификации: удалённый клиент может воспользоваться штатным механизмом самостоятельной регистрации по умолчанию и отправить чрезмерно большой запрос. Это приводит к избыточному выделению памяти, аварийному завершению или зависанию процесса сервера, разрыву соединений у активных игроков и недоступности сервиса вплоть до его ручной перезагрузки. Тип уязвимости — неограниченное выделение ресурсов (CWE-770), приводящее к отказу в обслуживании. Вектор атаки — сетевой, сложность низкая, привилегии и взаимодействие с пользователем не требуются.Что делать
Основная и наиболее надёжная мера — обновить ageLANServer до версии 1.15.2 или более поздней, в которой проблема устранена. Администраторам рекомендуется как можно скорее провести обновление на всех развёрнутых экземплярах сервера, особенно если они доступны из недоверенных сетей. Если немедленное обновление невозможно, следует ограничить сетевой доступ к серверу ageLANServer: не публиковать его в открытых сетях, использовать межсетевой экран или обратный прокси с жёсткими лимитами на размер тела запроса. Также целесообразно настроить мониторинг потребления памяти и автоматический перезапуск процесса при аномальном росте, а также ограничить возможность самостоятельной регистрации недоверенных клиентов. Дополнительно стоит отслеживать журналы на предмет подозрительных запросов к эндпоинту /game/cloud/getFileURL с необычно большими объёмами данных.Итог
CVE-2026-107839 — серьёзная уязвимость отказа в обслуживании в ageLANServer, эксплуатируемая удалённо без аутентификации и способная прервать игровые сессии и надолго вывести сервер из строя. Единственное надёжное решение — обновление до версии 1.15.2; до его установки необходимо ограничить сетевой доступ и контролировать потребление ресурсов.Источник: CVE Project (cvelistV5)