Protobuf-Bibliothek anfällig für DoS durch JSON-Parsing-Fehler

In der Python-Implementierung der protobuf-Bibliothek (alle Versionen bis einschließlich 6.33.4) wurde eine Sicherheitslücke mit hohem Schweregrad entdeckt. Die Schwachstelle CVE-2026-0994 ermöglicht Denial-of-Service-Angriffe durch Umgehung der Rekursionstiefenbegrenzung beim JSON-Parsing.

Das Problem liegt in der Funktion google.protobuf.json_format.ParseDict(). Beim Parsen von verschachtelten google.protobuf.Any-Nachrichten wird die konfigurierte max_recursion_depth-Begrenzung nicht korrekt berücksichtigt. Die interne Any-Verarbeitungslogik zählt die Rekursionstiefe nicht mit, wodurch Angreifer tief verschachtelte Any-Strukturen einschleusen können, die den Python-Rekursionsstack erschöpfen und einen RecursionError auslösen.

Sie sind betroffen, wenn:

  • Sie die Python-protobuf-Bibliothek in Version 6.33.4 oder älter einsetzen
  • Ihre Anwendung JSON-Daten mit json_format.ParseDict() verarbeitet
  • Sie externe oder nicht vertrauenswürdige JSON-Eingaben akzeptieren
  • Ihre Implementierung google.protobuf.Any-Typen verwendet

Prüfen Sie Ihre installierte Version mit: pip show protobuf

Derzeit existiert noch kein Patch. Implementieren Sie bis zur Verfügbarkeit einer korrigierten Version folgende Schutzmaßnahmen:

  • Validieren und begrenzen Sie die Verschachtelungstiefe von JSON-Eingaben vor der Verarbeitung
  • Setzen Sie zusätzliche Input-Validierung auf Anwendungsebene ein
  • Beschränken Sie die Verarbeitung von Any-Typen auf vertrauenswürdige Quellen
  • Implementieren Sie Timeouts und Resource-Limits für Parsing-Operationen
  • Überwachen Sie die verfügbaren Updates der protobuf-Bibliothek und aktualisieren Sie zeitnah nach Patch-Veröffentlichung

Weitere Informationen: https://nvd.nist.gov/vuln/detail/CVE-2026-0994

Tags :

Related Posts

„Truman Show“-Scam: KI-generierte Scheinwelt tarnt großangelegten Investmentbetrug

Sicherheitsforscher des Harmony Mobile Detection Teams haben eine hochentwickelte Investmentbetrugs-Kampagne mit dem Namen OPCOPRO offengelegt, die vollständig auf KI-gestützter Social Engineering basiert. Die Angreifer nutzen legitime Android- und iOS-Apps aus offiziellen App-Stores sowie künstlich erzeugte WhatsApp- und Telegram-Communities, um Opfer über Wochen hinweg in eine kontrollierte Scheinrealität zu ziehen.

Read More

Reprompt: One-Click-Angriff auf Microsoft Copilot erlaubte verdeckte Datenabflüsse

Varonis hat mit „Reprompt“ einen Angriff beschrieben, der in Microsoft Copilot Personal mit nur einem Klick auf einen legitimen Microsoft-Copilot-Link eine verdeckte Datenabfluss-Kette auslösen konnte. Die Methode nutzte unter anderem den URL-Parameter q, um Prompts beim Öffnen der Copilot-Webseite automatisch auszuführen – ohne dass Nutzer aktiv etwas in Copilot eingeben mussten.

Read More

glob CLI erlaubt Command Injection über -c/--cmd-Option

Im npm-Paket glob wurde eine schwerwiegende Command-Injection-Schwachstelle in der Kommandozeilenoberfläche entdeckt. Betroffen sind die Versionen >= 10.2.0 bis < 10.5.0 sowie 11.0.x. Die Lücke ist unter CVE-2025-64756 registriert und wird mit hohem Schweregrad (CVSS 8.8) bewertet.

Read More