immagine

Dettagli tecnici

Il problema è causato da una contabilizzazione cumulativa insufficiente delle risorse nel percorso di elaborazione WebSocket. Sebbene i singoli frame possano essere soggetti a controlli dimensionali, il server elabora comunque frame validi o frammenti ripetuti senza un efficace limite cumulativo per connessione.

Nei test di laboratorio, sono stati utilizzati diversi modelli di traffico WebSocket dall'aspetto non malevolo per validare il problema:

1. frame validi ripetuti al di sotto della soglia per frame,
2. messaggi frammentati suddivisi su molti frame di continuazione,
3. connessioni WebSocket parallele che inviano traffico ad alto volume.

Questi test hanno dimostrato che CryptPad continuava a consumare risorse durante l'elaborazione di traffico che individualmente appariva valido. Sotto un carico di laboratorio più intenso, il servizio è diventato non disponibile e i log di sistema hanno mostrato la terminazione del processo a causa dell'esaurimento della memoria.

Gli script completi di stress test non sono pubblicati per evitare di abilitare abusi contro le istanze CryptPad in produzione.

immagine

Prova di concetto

Questo avviso include intenzionalmente solo una descrizione non armata dell'approccio di riproduzione.

A livello generale, il problema può essere riprodotto in un laboratorio controllato:

1. avviando un'istanza CryptPad vulnerabile,
2. aprendo una o più connessioni WebSocket,
3. inviando frame validi ripetuti o messaggi frammentati che rimangono individualmente validi,
4. osservando il consumo cumulativo di CPU e memoria,
5. confermando che gli utenti legittimi subiscono un degrado del servizio o la perdita di disponibilità.

Non è incluso alcun exploit pubblico o script di flood.

immagine

Impatto

Un attaccante può quindi aprire una connessione WebSocket e inviare centinaia o addirittura migliaia di frame (ciascuno entro il limite di dimensione consentito), finché il server non ha bufferizzato ed elaborato un'enorme quantità di dati. Anche se ogni singolo frame appare 'legale', l'effetto cumulativo è che memoria e CPU del server vengono consumate per elaborare ogni frammento.

Un attaccante remoto non autenticato può:

• rendere CryptPad inutilizzabile per i client legittimi
• forzare un elevato utilizzo di CPU/memoria
• mandare in crash il servizio
• causare indisponibilità ricorrenti nelle distribuzioni orchestrate tramite container

immagine

Versioni interessate

• Confermato vulnerabile: CryptPad 2025.3.1, testata in un ambiente self-hosted controllato.
• Intervallo interessato nella bozza del coordinatore: >=2025.3.1, <2026.2.1
• Riferimento alla correzione: CryptPad PR #2239, commit 1e0c06ad8a0c5dab795f85f9730ec2693320c62e
• Nota sulla versione corretta: La bozza CSAF fa riferimento alla 2026.2.1, mentre CryptPad ha successivamente dichiarato in VINCE che la 2026.2.2 è la versione effettivamente corretta a causa di un problema di versione nella 2026.2.1. Gli operatori dovrebbero seguire il record finale CISA CSAF/CVE e le note di rilascio di CryptPad.

immagine

Mitigazione

Gli operatori dovrebbero aggiornare alla versione corretta di CryptPad indicata nell'avviso CISA finale e nelle note di rilascio di CryptPad.

Ulteriori mitigazioni di difesa in profondità includono:

• rate limiting del reverse proxy per gli endpoint WebSocket,
• limiti di connessione per IP,
• limiti cumulativi di byte/frame per connessione,
• monitoraggio del traffico WebSocket anomalo,
• limiti delle risorse a livello di servizio e sistemi di allerta.

immagine

Posizione del fornitore

CryptPad ha riconosciuto la condizione di denial-of-service. Il fornitore ha dichiarato che erano già state implementate contromisure sul lato nginx per l'istanza principale e che ulteriori modifiche venivano aggiunte alla configurazione di esempio e alla logica del server. CryptPad ha inoltre fatto riferimento a un più ampio refactoring del server volto a includere queste contromisure.

CryptPad ha successivamente fornito la PR #2239 come riferimento pubblico per la correzione e ha indicato che la versione di bugfix corretta è la 2026.2.2, a seguito di un problema di versione nella 2026.2.1.

immagine

Valutazione del ricercatore

Questo problema è correttamente classificato come una vulnerabilità di denial-of-service ad alta gravità. L'attacco non richiede autenticazione e può causare la completa indisponibilità del servizio esaurendo le risorse del server attraverso modelli di traffico WebSocket validi.

immagine

Note sulla divulgazione

I test sono stati eseguiti solo in ambienti controllati. Questo avviso non include script di flood armamentati o strumenti completi di riproduzione.

immagine

👤 Ricercatore

John Perifanis
Ricercatore di sicurezza
Contatto: https://www.linkedin.com/in/ioannis-p-9081842b9