OYEKANMI OLUWATUNMISE JOSEPH

RUN/CYB/23/15421

CVE-2026-77680 — सुरक्षा विश्लेषण

मूल्यांकन: मध्यम गंभीरता · CVSS v3.1: 5.3 · प्राथमिक प्रभाव: उपलब्धता (CPU थकावट / सेवा-अस्वीकृति)

यह रिपॉज़िटरी CVE-2026-77680 के तकनीकी व्यवहार, जोखिम, उपचार और एक Cyber Kill Chain मैपिंग का दस्तावेज़ीकरण करती है, जो libsoup HTTP Range हेडर प्रोसेसिंग में एक एल्गोरिथमिक-जटिलता दोष है।

कार्यकारी सारांश

CVE-2026-77680 libsoup में HTTP Range समेकन (coalescing) लॉजिक में एक सेवा-अस्वीकृति भेद्यता है। प्रभावित संस्करणों में, कई बार दोहराए गए, संतुष्ट-योग्य बाइट रेंजों को प्रोसेस करने से द्विघातीय (quadratic) कार्य भड़क सकता है। यह समस्या पहले के CVE-2025-32907 फ़िक्स के बाद भी बनी रहती है, क्योंकि समेकन कोड अभी भी सरणी (array) तत्वों को अलग-अलग हटाता था; प्रत्येक हटाने से शेष तत्व मेमोरी में स्थानांतरित हो सकते हैं।

एक दूरस्थ, अप्रमाणित हमलावर प्रभावित SoupServer पथ का उपयोग करने वाले सर्वर एप्लिकेशन को एक तैयार किया गया HTTP अनुरोध भेज सकता है। भेद्य स्थितियों के अंतर्गत, अनुरोध प्रोसेसिंग अत्यधिक CPU समय ले सकती है और अन्य अनुरोधों में देरी कर सकती है। रिपोर्ट किया गया प्रभाव केवल उपलब्धता है; इस समस्या को मेमोरी करप्शन या सूचना प्रकटीकरण के रूप में नहीं बताया गया है।

अपस्ट्रीम फ़िक्स बार-बार तत्व हटाने को इन-प्लेस रैखिक-समय संकुचन (compaction) से बदल देता है और 200 से अधिक रेंजों का अनुरोध करने वाले Range हेडरों को अस्वीकार कर देता है। ऑपरेटरों को केवल परिधि (perimeter) वर्कअराउंड पर निर्भर रहने के बजाय उपयुक्त विक्रेता सुरक्षा अपडेट स्थापित करना चाहिए।

भेद्यता विवरण

फ़ील्ड	विवरण
CVE	CVE-2026-77680
घटक	GNOME libsoup (HTTP लाइब्रेरी)
कमज़ोरी	CWE-407 — अक्षम एल्गोरिथमिक जटिलता
गंभीरता	मध्यम
CVSS v3.1	5.3
CVSS वेक्टर	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L`
हमले की पूर्व-शर्तें	प्रभावित सेवा तक नेटवर्क पहुँच; किसी प्रमाणीकरण या उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं
मुख्य प्रभाव	CPU थकावट और सेवा उपलब्धता में कमी
संबंधित समस्या	CVE-2025-32907
अपस्ट्रीम फ़िक्स	GNOME libsoup मर्ज रिक्वेस्ट !550

तकनीकी व्याख्या

HTTP बाइट-रेंज अनुरोध क्लाइंट को किसी संसाधन के चयनित भागों का अनुरोध करने देते हैं। भेद्य कोड पथ में, libsoup अतिव्यापी या डुप्लिकेट रेंजों का समेकन करता है। एक सतत GArray के मध्य से किसी तत्व को हटाने के लिए शेष तत्वों को स्थानांतरित करना पड़ सकता है। कई रेंजों को प्रोसेस करते समय उस ऑपरेशन को दोहराने से रैखिक कार्य के बजाय O(n²) कार्य उत्पन्न हो सकता है।

रिपोर्ट किए गए सर्वर-साइड पथ में libsoup/server/http1/soup-server-message-io-http1.c में handle_partial_get() शामिल है, जिसमें libsoup/soup-message-headers.c में soup_message_headers_get_ranges_internal() में रेंज पार्सिंग/समेकन होता है। यह समस्या तब प्रासंगिक होती है जब कोई एप्लिकेशन प्रभावित सर्वर पथ का उपयोग करता है और गैर-रिक्त बॉडी के साथ उपयुक्त प्रतिक्रिया लौटाता है।

रेंजों की संख्या को पर्याप्त रूप से कम रेंज-गणना सीमा के बजाय अनुरोध-हेडर सीमाओं द्वारा सीमित किया जा सकता है। परिणामस्वरूप, एक ही अनुरोध अत्यधिक प्रोसेसिंग का कारण बन सकता है, और बार-बार किए गए अनुरोध उपलब्धता प्रभाव को बढ़ा सकते हैं। सटीक प्रभाव तैनात संस्करण, अनुरोध सीमाओं, एप्लिकेशन व्यवहार और सर्वर क्षमता पर निर्भर करता है।

CVSS व्याख्या

प्रकाशित CVSS v3.1 स्कोर 5.3 (मध्यम) है।

AV:N — नेटवर्क: अनुरोध नेटवर्क पर भेजा जा सकता है।
AC:L — निम्न: स्कोर में कोई असामान्य पूर्व-शर्तें प्रतिबिंबित नहीं होतीं।
PR:N — कोई नहीं: प्रमाणीकरण आवश्यक नहीं है।
UI:N — कोई नहीं: पीड़ित को इंटरैक्ट करने की आवश्यकता नहीं है।
S:U — अपरिवर्तित: प्रभाव भेद्य घटक के सुरक्षा अधिकार क्षेत्र के भीतर ही रहता है।
C:N / I:N — कोई नहीं: गोपनीयता या अखंडता पर कोई प्रभाव स्कोर नहीं किया गया है।
A:L — निम्न: उपलब्धता प्रभाव निम्न के रूप में स्कोर किया गया है।

मध्यम आधार स्कोर का अर्थ यह नहीं है कि समस्या को नज़रअंदाज़ किया जा सकता है: इंटरनेट एक्सपोज़र, साझा अवसंरचना और बार-बार किए गए अनुरोध सेवा उपलब्धता को परिचालन की दृष्टि से महत्वपूर्ण बना सकते हैं।

हमला सतह और जोखिम

जोखिम में संपत्तियां

प्रभावित libsoup सर्वर कार्यक्षमता पर बने वेब सेवाओं की उपलब्धता।
एप्लिकेशन की प्रतिक्रियाशीलता और इवेंट-लूप क्षमता।
वे निर्भर सेवाएं जो प्रभावित एप्लिकेशन के प्रतिक्रियाशील बने रहने पर निर्भर करती हैं।
सेवा-स्तरीय उद्देश्य और वैध सामग्री तक उपयोगकर्ता की पहुंच।

पूर्व-शर्तें और एक्सपोज़र जांच

उन एप्लिकेशन और होस्ट की पहचान करें जिनमें libsoup शामिल है।
स्थापित पैकेज संस्करण और विक्रेता सुरक्षा स्थिति निर्धारित करें; डाउनस्ट्रीम विक्रेता समान अपस्ट्रीम संस्करण संख्या में बदलाव किए बिना फिक्स बैकपोर्ट कर सकते हैं।
पुष्टि करें कि क्या एप्लिकेशन प्रासंगिक सर्वर-साइड HTTP Range हैंडलिंग पथ को उजागर करता है।
अनुरोध-हेडर सीमाओं, दर सीमाओं, रिवर्स-प्रॉक्सी व्यवहार, और CPU संतृप्ति या असामान्य रूप से महंगे Range अनुरोधों की निगरानी की समीक्षा करें।

केवल libsoup की उपस्थिति से भेद्यता का अनुमान न लगाएं। विशिष्ट पैकेज बिल्ड और यह कि फिक्स लागू किया गया है या नहीं, की पुष्टि करें।

साइबर किल चेन विश्लेषण

लॉकहीड मार्टिन साइबर किल चेन एक घुसपैठ-उन्मुख मॉडल है। यह मैपिंग इसके चरणों को एक सेवा-अस्वीकृति परिदृश्य के अनुकूल बनाती है; इस भेद्यता के लिए प्रत्येक चरण एक अलग या आवश्यक कदम का प्रतिनिधित्व नहीं करता है।

चरण	इस परिदृश्य में संभावित गतिविधि	रक्षात्मक अवसर
1. टोही (Reconnaissance)	एक पहुंच योग्य एप्लिकेशन की पहचान करना और उसके HTTP स्टैक या व्यवहार का अनुमान लगाना।	अनावश्यक एक्सपोज़र कम करें; संपत्ति और सॉफ़्टवेयर सूची बनाए रखें; अनावश्यक संस्करण जानकारी प्रकट करने से बचें।
2. हथियारीकरण (Weaponization)	अत्यधिक संख्या में दोहराए गए या अतिव्यापी Range मानों वाला एक HTTP अनुरोध तैयार करना।	लाइब्रेरी को पैच करें; रेंज गणनाओं को सत्यापित और सीमित करें; सुरक्षित अनुरोध पार्सिंग सीमाएं लागू करें।
3. वितरण (Delivery)	तैयार किए गए अनुरोध को एक उजागर सेवा पर भेजना।	नेटवर्क नियंत्रण, रिवर्स-प्रॉक्सी सुरक्षा, कनेक्शन सीमाएं, और अनुरोध-दर नियंत्रण का उपयोग करें।
4. शोषण (Exploitation)	एक भेद्य सर्वर पथ में महंगे रेंज-कोएलेसिंग कार्य को ट्रिगर करना।	विक्रेता/अपस्ट्रीम फिक्स तैनात करें; महंगी प्रोसेसिंग से पहले अत्यधिक रेंज अस्वीकार करें।
5. स्थापना (Installation)	सामान्यतः लागू नहीं: यह एक संसाधन-थकावट दोष है और स्वयं मैलवेयर स्थापित नहीं करता।	अनुवर्ती गतिविधि की निगरानी करें; यह न मानें कि सेवा व्यवधान का अर्थ होस्ट समझौता है।
6. कमांड और नियंत्रण (Command and Control)	बुनियादी DoS व्यवहार के लिए आवश्यक नहीं। बार-बार ट्रैफ़िक के समन्वय के लिए बॉटनेट या रिमोट कंट्रोलर का उपयोग किया जा सकता है, लेकिन यह CVE का अंतर्निहित हिस्सा नहीं है।	स्रोतों के बीच ट्रैफ़िक को सहसंबंधित करें; जहां उपयुक्त हो अपस्ट्रीम DDoS सुरक्षा लागू करें।
7. उद्देश्यों पर कार्रवाई (Actions on Objectives)	प्रतिक्रिया समय को कम करना या वैध उपयोगकर्ताओं को सेवा तक पहुंच से वंचित करना।	उपलब्धता और CPU की निगरानी करें; लॉग सुरक्षित रखें; घटना-प्रतिक्रिया और पुनर्प्राप्ति प्रक्रियाएं लागू करें।

संभावित सुरक्षा परिणाम

प्राथमिक परिणाम सेवा क्षरण या सेवा-अस्वीकृति है, कोड निष्पादन नहीं। यह अंतर ट्रायाज के लिए महत्वपूर्ण है: उपलब्धता नियंत्रण और पैचिंग को प्राथमिकता दें, साथ ही समझौते के किसी भी अलग संकेतक के लिए लॉग और टेलीमेट्री की जांच करते रहें।

उपचार और प्रतिक्रिया योजना

प्राथमिकता 1 — पैच

एक विक्रेता पैकेज में अपग्रेड करें जिसमें अपस्ट्रीम merge request !550 के अनुरूप फिक्स शामिल है।
ऑपरेटिंग सिस्टम या वितरण के समर्थित पैकेज और सलाह निर्देशों का उपयोग करें।
अपडेट के बाद स्थापित पैकेज बिल्ड और सुरक्षा स्थिति सत्यापित करें। जहां विक्रेता पैच बैकपोर्ट करते हैं वहां केवल संस्करण स्ट्रिंग्स पर निर्भर न रहें।

प्राथमिकता 2 — पैचिंग पूरी होने तक शमन करें

जहां व्यावहारिक हो, प्रभावित सेवाओं तक नेटवर्क पहुंच प्रतिबंधित करें।
एक रिवर्स प्रॉक्सी या HTTP फ्रंट एंड को कॉन्फ़िगर करें ताकि अत्यधिक Range मानों को एप्लिकेशन तक पहुंचने से पहले अस्वीकार या सीमित किया जा सके।
उचित अनुरोध-हेडर आकार सीमाएं, कनेक्शन सीमाएं, और दर सीमित करना लागू करें।
CPU उपयोग, इवेंट-लूप विलंबता, अनुरोध दरों, और असामान्य Range-हेडर पैटर्न की निगरानी करें।

ये नियंत्रण एक्सपोज़र को कम करते हैं लेकिन फिक्स स्थापित करने के विकल्प नहीं हैं।

CVE-2026-77680-Security-Analysis

सबसे लोकप्रिय