OYEKANMI OLUWATUNMISE JOSEPH

RUN/CYB/23/15421

CVE-2026-77680 — 安全分析

评估： 中危 · CVSS v3.1： 5.3 · 主要影响： 可用性（CPU 耗尽 / 拒绝服务）

本仓库记录了 CVE-2026-77680 的技术行为、风险、修复方案以及网络杀伤链映射。该漏洞是 libsoup HTTP Range 头处理中的算法复杂度缺陷。

执行摘要

CVE-2026-77680 是 libsoup 中 HTTP Range 合并逻辑的拒绝服务漏洞。在受影响版本中，处理大量重复且可满足的字节范围可能触发二次方级工作量。该问题在早前的 CVE-2025-32907 修复后仍然存在，因为合并代码仍然逐个移除数组元素；每次移除都可能导致内存中剩余元素发生移动。

远程、未经身份验证的攻击者可向使用受影响 SoupServer 路径的服务器应用程序发送特制 HTTP 请求。在存在漏洞的条件下，请求处理可能消耗不成比例的 CPU 时间并延迟其他请求。所报告的影响仅为可用性；该问题未被描述为内存损坏或信息泄露。

上游修复将重复的元素移除替换为原地线性时间压缩，并拒绝请求超过 200 个范围的 Range 头。运维人员应安装相应的厂商安全更新，而不是仅依赖外围缓解措施。

漏洞详情

字段	详情
CVE	CVE-2026-77680
组件	GNOME libsoup（HTTP 库）
弱点	CWE-407 — 低效的算法复杂度
严重性	中危
CVSS v3.1	5.3
CVSS 向量	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L`
攻击前提	可网络访问受影响服务；无需身份验证或用户交互
主要影响	CPU 耗尽及服务可用性降低
相关问题	CVE-2025-32907
上游修复	GNOME libsoup 合并请求 !550

技术说明

HTTP 字节范围请求允许客户端请求资源的选定部分。在存在漏洞的代码路径中，libsoup 会合并重叠或重复的范围。从连续 GArray 的中间移除元素可能需要移动剩余元素。在处理大量范围时重复该操作可能产生 O(n²) 工作量，而非线性工作量。

所报告的服务器端路径包括 libsoup/server/http1/soup-server-message-io-http1.c 中的 handle_partial_get()，范围解析/合并在 libsoup/soup-message-headers.c 中的 soup_message_headers_get_ranges_internal() 中完成。当应用程序使用受影响的服务器路径并返回带有非空主体的适当响应时，该问题即相关。

范围数量可能受请求头限制约束，而非受足够低的范围数量上限约束。因此，单个请求即可导致过度处理，重复请求可能放大可用性影响。确切影响取决于部署版本、请求限制、应用程序行为和服务器容量。

CVSS 解读

公布的 CVSS v3.1 评分为 5.3（中危）。

AV:N — 网络： 请求可通过网络传递。
AC:L — 低： 评分中未反映异常前置条件。
PR:N — 无： 无需身份验证。
UI:N — 无： 受害者无需交互。
S:U — 不变： 影响仍处于受影响组件的安全权限范围内。
C:N / I:N — 无： 未评分机密性或完整性影响。
A:L — 低： 可用性影响评为低。

中危基础评分并不意味着该问题可以忽略：互联网暴露、共享基础设施和重复请求可能使服务可用性在运营上变得重要。

攻击面与风险

面临风险的资产

基于受影响的 libsoup 服务器功能构建的 Web 服务的可用性。
应用程序的响应能力和事件循环容量。
依赖受影响应用程序保持响应的下游服务。
服务级别目标以及用户对合法内容的访问。

前置条件与暴露检查

识别包含 libsoup 的应用程序和主机。
确定已安装的软件包版本和供应商的安全状态；下游供应商可能会在不更改上游版本号的情况下回移植修复程序。
确认应用程序是否暴露了相关的服务器端 HTTP Range 处理路径。
审查请求头限制、速率限制、反向代理行为，以及针对 CPU 饱和或异常昂贵的 Range 请求的监控。

不要仅凭 libsoup 的存在就推断存在漏洞。请确认具体的软件包构建版本以及是否已应用修复程序。

网络杀伤链分析

洛克希德·马丁网络杀伤链是一个以入侵为导向的模型。此映射将其各阶段调整为适用于拒绝服务场景；并非每个阶段都代表此漏洞的独立或必要步骤。

阶段	此场景中可能的活动	防御机会
1. 侦察	识别可访问的应用程序并推断其 HTTP 栈或行为。	减少不必要的暴露；维护资产和软件清单；避免披露不必要的版本信息。
2. 武器化	准备一个包含过多重复或重叠 Range 值的 HTTP 请求。	修补库；验证并限制范围数量；应用安全的请求解析限制。
3. 投递	将构造的请求发送到暴露的服务。	使用网络控制、反向代理保护、连接限制和请求速率控制。
4. 利用	在易受攻击的服务器路径中触发昂贵的范围合并工作。	部署供应商/上游修复程序；在昂贵处理之前拒绝过多的范围。
5. 安装	通常不适用：这是一个资源耗尽缺陷，本身不会安装恶意软件。	监控后续活动；不要假设服务中断就意味着主机被入侵。
6. 命令与控制	基本 DoS 行为不需要。可以使用僵尸网络或远程控制器来协调重复流量，但这不是 CVE 的固有特性。	跨来源关联流量；在适当情况下应用上游 DDoS 保护。
7. 目标行动	降低响应时间或拒绝合法用户访问服务。	监控可用性和 CPU；保留日志；应用事件响应和恢复程序。

可能的安全结果

主要结果是服务降级或拒绝服务，而非代码执行。这一区别对于分类处理很重要：优先考虑可用性控制和修补，同时仍检查日志和遥测数据以发现任何单独的入侵指标。

修复与响应计划

优先级 1 — 修补

升级到包含对应上游合并请求 !550修复程序的供应商软件包。
使用操作系统或发行版支持的软件包和公告说明。
更新后验证已安装的软件包构建版本和安全状态。在供应商回移植补丁的情况下，不要仅依赖版本字符串。

优先级 2 — 在修补完成前缓解

在可行的情况下限制对受影响服务的网络访问。
配置反向代理或 HTTP 前端，在过多的 Range 值到达应用程序之前拒绝或限制它们。
应用合理的请求头大小限制、连接限制和速率限制。
监控 CPU 利用率、事件循环延迟、请求速率和异常的 Range 头模式。

这些控制措施可减少暴露，但不能替代安装修复程序。

优先级 3 — 检测与调查

检查 Web 服务器、代理和应用日志，查找异常大或重复的 Range 头以及请求突发。
将可疑请求模式与 CPU 峰值、延迟增加和健康检查失败进行关联分析。
保留相关日志和时间戳，以供事件分析。
避免仅将高 CPU 事件视为漏洞利用的证据；应关联多个信号。

优先级 4 — 验证恢复

根据相关厂商公告确认软件包已修补。
部署后验证正常延迟、CPU 利用率和错误率。
确认保护性请求限制已生效，且不会不必要地破坏合法的范围请求。
记录受影响的资产、修复日期、软件包版本和残余风险。

参考资料与公告

请使用适用于您环境中部署的确切操作系统和软件包构建的厂商公告。

范围与免责声明

本文档是基于公开漏洞公告和上游参考资料的防御性安全分析。它不是漏洞利用或概念验证。产品适用性和补丁状态必须根据目标环境中的确切软件构建和厂商公告进行确认。

为漏洞管理、威胁分析和防御性安全学习而编写。

CVE-2026-77680-Security-Analysis

最受欢迎