Une vulnérabilité de dépassement d'entier dans l'analyseur d'encodage de transfert fragmenté HTTP dans tinyproxy jusqu'à la version 1.11.3 incluse permet à un attaquant distant non authentifié de provoquer un déni de service (D
Plateforme
linux
Composant
tinyproxy
Corrigé dans
1.11.4
CVE-2026-3945 est une vulnérabilité de type déni de service (DoS) affectant tinyproxy. Elle permet à un attaquant distant non authentifié de provoquer une interruption de service. Cette vulnérabilité est présente dans les versions de tinyproxy inférieures ou égales à 1.11.3. Aucun correctif officiel n'est actuellement disponible.
Impact et Scénarios d'Attaque
La CVE-2026-3945 affecte tinyproxy jusqu'à la version 1.11.3, présentant une vulnérabilité de débordement d'entier dans l'analyseur de codage de transfert HTTP "chunked". Un attaquant distant non authentifié peut exploiter cette faille pour provoquer un déni de service (DoS). Le problème réside dans le fait que les valeurs de taille de chunk sont analysées à l'aide de strtol() sans validation appropriée des conditions de débordement (par exemple, errno == ERANGE). Une taille de chunk spécialement conçue, telle que 0x7fffffffffffffff (LONG_MAX), contourne la vérification existante (chunklen < 0), entraînant un débordement d'entier signé. Cela peut entraîner une consommation excessive de ressources ou un plantage du serveur, interrompant le service pour les utilisateurs légitimes. Le score de gravité CVSS est de 7,8, indiquant un risque élevé.
Contexte d'Exploitation
L'exploitation de cette vulnérabilité nécessite qu'un attaquant soit capable d'envoyer des requêtes HTTP à un serveur tinyproxy vulnérable. Cela implique généralement la capacité d'interagir avec le serveur via le réseau. Un attaquant pourrait envoyer une série de requêtes HTTP avec des tailles de chunk malveillantes conçues pour déclencher le débordement d'entier. La difficulté d'exploitation dépend de la configuration du réseau et des mesures de sécurité existantes. Cependant, la relative simplicité de l'exploitation fait de cette vulnérabilité une préoccupation importante, en particulier pour les serveurs exposés à Internet.
Renseignement sur les Menaces
Statut de l'Exploit
EPSS
0.06% (percentile 20%)
CISA SSVC
Vecteur CVSS
Que signifient ces métriques?
- Attack Vector
- Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
- Attack Complexity
- Faible — aucune condition spéciale requise. Exploitable de manière fiable.
- Confidentiality
- Aucun — aucun impact sur la confidentialité.
- Integrity
- Aucun — aucun impact sur l'intégrité.
Logiciel Affecté
Classification de Faiblesse (CWE)
Chronologie
- Réservé
- Publiée
- EPSS mis à jour
Mitigation et Contournements
Actuellement, aucune correction n'est disponible pour la CVE-2026-3945. L'atténuation la plus efficace consiste à mettre à niveau vers une version de tinyproxy ultérieure à la 1.11.3 dès qu'elle est disponible. En attendant, envisagez de mettre en œuvre des mesures de sécurité supplémentaires, telles que la limitation du taux de requêtes entrantes et la surveillance des performances du serveur à la recherche de signes d'une attaque DoS. Un pare-feu d'applications web (WAF) peut également être envisagé pour filtrer le trafic malveillant. L'absence d'une solution immédiate fait de la mise à niveau la priorité la plus élevée pour protéger les systèmes utilisant tinyproxy.
Comment corrigertraduction en cours…
Actualice tinyproxy a una versión posterior a la 1.11.3. Si no es posible actualizar, considere aplicar el parche bb7edc4 manualmente. Esto corrige la vulnerabilidad de desbordamiento de enteros en el análisis de la codificación de transferencia fragmentada HTTP.
Newsletter Sécurité CVE
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Questions fréquentes
Qu'est-ce que CVE-2026-3945 — Denial of Service (DoS) dans tinyproxy ?
C'est une méthode pour envoyer des données HTTP en fragments (chunks) de taille variable. Elle permet au serveur de commencer à envoyer des données avant de connaître la taille totale de la réponse.
Suis-je affecté(e) par CVE-2026-3945 dans tinyproxy ?
La validation des entiers est cruciale pour éviter les débordements qui peuvent entraîner un comportement inattendu, tel que la corruption de la mémoire ou l'exécution de code malveillant.
Comment corriger CVE-2026-3945 dans tinyproxy ?
Vérifiez la version de tinyproxy que vous utilisez. Si elle est antérieure à la 1.11.3, elle est vulnérable. Surveillez les journaux du serveur à la recherche d'erreurs ou de comportements inhabituels qui pourraient indiquer une tentative d'exploitation.
CVE-2026-3945 est-il activement exploité ?
Une attaque par déni de service (DoS) vise à rendre un service indisponible aux utilisateurs légitimes, en surchargeant généralement le serveur de trafic malveillant.
Où trouver l'avis officiel de tinyproxy pour CVE-2026-3945 ?
Vous pouvez trouver plus d'informations sur les bases de données de vulnérabilités telles que le National Vulnerability Database (NVD) ou sur les avis de sécurité de tinyproxy.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.