टिनीप्रॉक्सी (tinyproxy) संस्करण 1.11.3 तक में HTTP चंक्ड ट्रांसफर एन्कोडिंग पार्सर (HTTP chunked transfer encoding parser) में एक पूर्णांक ओवरफ्लो भेद्यता (integer overflow vulnerability) एक अप्रमाणित रिमोट हमलावर को सेवा से इनकार (denial of service (D) का कारण बनने की अनुमति देती है।

CVE-2026-3945 tinyproxy के संस्करण 1.11.3 तक को प्रभावित करता है, और HTTP chunked ट्रांसफर एन्कोडिंग पार्सर में एक पूर्णांक अतिप्रवाह भेद्यता प्रस्तुत करता है। एक अनधिकृत दूरस्थ हमलावर इस त्रुटि का उपयोग करके सेवा से इनकार (DoS) स्थिति पैदा कर सकता है। यह समस्या इस तथ्य के कारण उत्पन्न होती है कि chunk आकार मानों को strtol() का उपयोग करके पार्स किया जाता है, बिना अतिप्रवाह स्थितियों (जैसे errno == ERANGE) को ठीक से मान्य किए। उदाहरण के लिए, 0x7fffffffffffffff (LONG_MAX) जैसे विशेष रूप से तैयार किए गए chunk आकार मौजूदा सत्यापन जांच (chunklen < 0) को बायपास कर देंगे, जिसके परिणामस्वरूप हस्ताक्षरित पूर्णांक अतिप्रवाह होगा। इससे संसाधनों का अत्यधिक उपभोग या सर्वर क्रैश हो सकता है, जिससे वैध उपयोगकर्ताओं के लिए सेवा बाधित हो सकती है। CVSS गंभीरता स्कोर 7.8 है, जो उच्च जोखिम दर्शाता है।

1. आरक्षित2026-03-11
2. प्रकाशित2026-03-30
3. EPSS अद्यतन2026-04-06

वर्तमान में, CVE-2026-3945 के लिए कोई फिक्स उपलब्ध नहीं है। सबसे प्रभावी शमन उपाय 1.11.3 से बाद के tinyproxy संस्करण में अपग्रेड करना है, जैसे ही यह उपलब्ध हो। इस बीच, अतिरिक्त सुरक्षा उपायों को लागू करने पर विचार करें, जैसे कि आने वाले अनुरोधों की दर को सीमित करना और DoS हमले के संकेतों के लिए सर्वर प्रदर्शन की निगरानी करना। दुर्भावनापूर्ण ट्रैफ़िक को फ़िल्टर करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) पर भी विचार किया जा सकता है। तत्काल समाधान की कमी के कारण, tinyproxy का उपयोग करने वाले सिस्टम की सुरक्षा के लिए अपग्रेड को सर्वोच्च प्राथमिकता दी जानी चाहिए।