CVE-2025-32907mediumCWE-1050

CVE-2025-32907: falha de média gravidade em libsoup

Libsoup: denial of service in server when client requests a large amount of overlapping ranges with range header

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Red Hat Enterprise Linux+ Monitorar Red Hat Enterprise Linux 9.4 Extended Update Support

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.7%
Em resumo

Uma falha no libsoup permite que um cliente malicioso envie múltiplas solicitações de intervalo (ranges) sobrepostas em uma única requisição HTTP, fazendo o servidor consumir muita memória e ficar lento.

Detalhe técnico

A vulnerabilidade está no parser de requisições de intervalo do libsoup, que não limita adequadamente o número ou sobreposição de ranges processados em um único cabeçalho HTTP Range. Um atacante remoto não autenticado pode enviar uma requisição HTTP maliciosa com muitas especificações de intervalo de bytes sobrepostas para esgotar a memória do servidor, resultando em degradação da disponibilidade do serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A flaw was found in libsoup. The implementation of HTTP range requests is vulnerable to a resource consumption attack. This flaw allows a malicious client to request the same range many times in a single HTTP request, causing the server to use large amounts of memory. This does not allow for a full denial of service.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
libsoupRed Hat · Red Hat Enterprise Linux 10Red Hat · Red Hat Enterprise Linux 6Red Hat · Red Hat Enterprise Linux 7Red Hat · Red Hat Enterprise Linux 8Red Hat · Red Hat Enterprise Linux 9Red Hat · Red Hat Enterprise Linux 9.0 Update Services for SAP SolutionsRed Hat · Red Hat Enterprise Linux 9.2 Extended Update SupportRed Hat · Red Hat Enterprise Linux 9.4 Extended Update Support
CVEs relacionadas — libsoup

No mesmo produto, das mais perigosas para as menos.

CVE-2023-4911HIGHGlibc: buffer overflow in ld.so leading to privilege escalationEPSS 63.8%KEVCVE-2024-6387HIGHOpenssh: regresshion - race condition in ssh allows rce/dosEPSS 99.5%CVE-2024-3094CRITICALXz: malicious code in distributed sourceEPSS 90.9%CVE-2024-12084CRITICALRsync: heap buffer overflow in rsync due to improper checksum length handlingEPSS 72.5%CVE-2023-1183MEDIUMArbitrary file writeEPSS 64.9%CVE-2023-34966HIGHSamba: infinite loop in mdssvc rpc service for spotlightEPSS 62.4%