CVE-2024-53259
quic-go Linux पर ICMP पैकेट टू लार्ज इंजेक्शन हमले से प्रभावित
- प्रकाशित
- 2 दिस॰ 2024
- अद्यतन
- 2 दिस॰ 2024
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hकम · अगले 30 दिन
- प्रतिशत
- 47.8%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
quic-go, QUIC प्रोटोकॉल का Go में एक कार्यान्वयन है। एक ऑफ-पाथ हमलावर एक ICMP Packet Too Large पैकेट इंजेक्ट कर सकता है। चूंकि प्रभावित quic-go संस्करण IP_PMTUDISC_DO का उपयोग करते थे, कर्नेल तब sendmsg पर एक "message too large" त्रुटि लौटाएगा, यानी जब quic-go उस ICMP पैकेट में दावा किए गए MTU से अधिक आकार का पैकेट भेजने का प्रयास करता है। इस मान को 1200 बाइट्स (QUIC के लिए न्यूनतम MTU) से कम पर सेट करके, हमलावर एक QUIC कनेक्शन को बाधित कर सकता है। महत्वपूर्ण रूप से, यह हैंडशेक पूरा होने के बाद किया जा सकता है, जिससे एप्लिकेशन परत पर लागू किया गया कोई भी TCP फॉलबैक (उदाहरण के लिए, कई ब्राउज़र QUIC कनेक्शन स्थापित करने में असमर्थ होने पर HTTP over TCP पर फॉलबैक करते हैं) दरकिनार हो जाता है। हमलावर को हमला करने के लिए कम से कम क्लाइंट का IP और पोर्ट टपल जानना आवश्यक है। यह भेद्यता 0.48.2 में ठीक की गई है।
स्रोत
CVE-2024-53259 का पुनरुत्पादन, भेद्यता सत्यापन और शोषण परीक्षण के लिए। सुरक्षा दोष को मान्य करने हेतु एक न्यूनतम, केंद्रित कार्यान्वयन प्रदान करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।