Netdata: уязвимость CVE-2026-83600 позволяет дочернему агенту уронить родительский через запрос ~16 ГиБ памяти
В Netdata до версии 2.10.4 обнаружена уязвимость CVE-2026-83600 (CVSS 6.5, MEDIUM) в протоколе стриминга. Аутентифицированный дочерний агент может передать чрезмерно большое значение CHART SLOT, что приводит к попытке выделить порядка 16 ГиБ памяти и аварийному завершению родительского агента. Проблема затрагивает инсталляции, использующие централизованный стриминг метрик, и позволяет повторно выводить из строя систему мониторинга.
Подробности
Уязвимость затрагивает Netdata версий до 2.10.4. Проблема классифицируется как off-by-one в проверке значения CHART SLOT протокола стриминга. Аутентифицированный дочерний агент может отправить чрезмерно большое значение CHART SLOT, которое функция str2ull_encoded передаёт в pluginsd_rrdset_cache_put_to_slot (файл src/plugins.d/pluginsd_internals.h). Принятое значение слота приводит к тому, что reallocz запрашивает массив указателей на графики размером примерно 16 ГиБ. Сбой выделения такой памяти вызывает вызов fatal и аварийное завершение родительского агента Netdata. Практическое последствие — повторяющееся отключение централизованного мониторинга при сохранении доступа к стримингу. То есть при наличии аутентифицированного доступа к стримингу атакующий может циклически вызывать отказ в обслуживании родительского агента. Уязвимости присвоен рейтинг CVSS 6.5 (MEDIUM). Затронут продукт netdata (netdata).Что делать
Рекомендуется обновить Netdata до версии 2.10.4 или до nightly-сборки 2.10.0-782-nightly и новее, где проблема устранена. После обновления следует перезапустить агенты, чтобы исключить работу уязвимого кода. Дополнительно стоит ограничить круг узлов и учётных записей, имеющих доступ к стримингу, поскольку эксплуатация требует аутентификации. Если немедленное обновление невозможно, применяйте компенсирующие меры: изолируйте стриминговый трафик в доверенном сегменте сети, контролируйте подключения дочерних агентов и настройте автоматический перезапуск родительского агента с оповещением, чтобы сократить время простоя мониторинга. Также полезно отслеживать аномальные размеры выделяемой памяти и аварийные завершения процесса Netdata.Итог
CVE-2026-83600 — умеренно опасная уязвимость в Netdata, позволяющая аутентифицированному дочернему агенту вызвать отказ в обслуживании родительского агента через запрос выделения ~16 ГиБ памяти. Исправление доступно в версии 2.10.4 и указанной nightly-сборке; обновление является основной мерой защиты.Источник: CVE Project (cvelistV5)