go-ntlmssp NTLM challenges can panic on malformed payloads
13Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 5.3epss 1.0%
probabilidade de exploração
1.0%top 38% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo
O pacote go-ntlmssp pode travar quando recebe uma mensagem NTLM malformada. Um atacante pode explorar isso para desabilitar serviços que usam esta biblioteca para autenticação.
Detalhe técnico
Uma mensagem de desafio NTLM malformada causa um acesso fora dos limites em uma slice no ntlmssp.Negotiator, provocando um pânico que derruba o processo Go. O ataque requer acesso à rede para enviar um desafio malicioso durante o handshake de autenticação NTLM; nenhuma autenticação prévia é necessária. O impacto é negação de serviço afetando qualquer aplicação que use esta biblioteca para autenticação HTTP.
Resumo gerado e traduzido por IA a partir da descrição oficial.
go-ntlmssp is a Go package that provides NTLM/Negotiate authentication over HTTP. Prior to version 0.1.1, a malicious NTLM challenge message can causes an slice out of bounds panic, which can crash any Go process using `ntlmssp.Negotiator` as an HTTP transport. Version 0.1.1 patches the issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
Azure · go-ntlmssp