CVE-2026-107564: уязвимость в csaf_provider из gocsaf/csaf ведёт к отказу в обслуживании

В проекте gocsaf/csaf, предназначенном для работы с CSAF-документами (Common Security Advisory Framework), обнаружена уязвимость, позволяющая злоумышленнику вывести сервис из строя без прохождения аутентификации. Проблема затрагивает компонент csaf_provider.

Подробности

Уязвимости присвоен идентификатор CVE-2026-107564. Её причина — слабость типа «распределение ресурсов без ограничений или троттлинга» (allocation of resources without limits or throttling, CWE-770). Иными словами, компонент не ограничивает объём ресурсов, которые может запросить обработка входящих данных, и не применяет механизмы throttling.

По данным записи CVE, неаутентифицированный удалённый атакующий может воспользоваться этой особенностью и спровоцировать высокую загрузку CPU, что приводит к отказу в обслуживании (denial of service). Предварительная аутентификация для эксплуатации не требуется, что повышает практическую ценность атаки для злоумышленника. Оценка по шкале CVSS составляет 8.7, что соответствует уровню HIGH.

Под уязвимость попадает продукт gocsaf Development Community — компонент csaf_provider. Конкретные версии в записи CVE не перечислены, поэтому организациям, использующим данный проект, следует уточнить сведения у мейнтейнеров и в официальных источниках проекта.

Что делать

Универсальная рекомендация при наличии исправленной версии — как можно скорее обновить csaf_provider до актуального релиза, в котором устранена проблема. Перед обновлением стоит свериться с официальными каналами проекта gocsaf/csaf, чтобы убедиться в наличии патча именно для вашей ветки.

Если обновление пока невозможно, имеет смысл применить компенсирующие меры:

• ограничить сетевой доступ к csaf_provider — не публиковать сервис в интернете без необходимости, использовать межсетевые экраны и списки разрешённых адресов;
• разместить компонент за обратным прокси или балансировщиком с ограничением частоты запросов (rate limiting) и таймаутов;
• настроить лимиты ресурсов (CPU, память, число соединений) на уровне контейнера или сервисного менеджера, чтобы сдержать последствия всплеска нагрузки;
• вести мониторинг загрузки CPU и аномалий трафика, чтобы быстрее обнаруживать попытки эксплуатации и реагировать на них.

Итог: CVE-2026-107564 — серьёзная уязвимость (CVSS 8.7, HIGH) в компоненте csaf_provider проекта gocsaf/csaf, позволяющая неаутентифицированному удалённому атакующему вызвать отказ в обслуживании через исчерпание ресурсов. Приоритет действий — установка обновления; до этого сервис стоит изолировать от недоверенных сетей и защитить механизмами ограничения нагрузки.

Источник: CVE Project (cvelistV5)