یک آسیب‌پذیری امنیتی در کتابخانه hpack، که برای رمزگذاری هدرهای HTTP/2 در زبان پایتون (Python) استفاده می‌شود، شناسایی و در نسخه 4.2.0 برطرف شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-59980 شناخته می‌شود، مربوط به نحوه رمزگشایی اعداد صحیح متغیر (Variable Integer Decoding) است. در نسخه‌های پیش از 4.2.0، این فرآیند به صورت نامحدود (Unbounded) انجام می‌شد. در صورت دریافت ورودی‌های دست‌کاری شده (Malformed Input)، این وضعیت منجر به محاسبات بی‌پایان و پیچیدگی زمانی O(n^2) می‌گردد.
تأثیرات امنیتی
یک مهاجم می‌تواند با ارسال ورودی‌های پاک‌سازی نشده و حجیم، باعث اشغال کامل منابع پردازشی شود. این مسئله در عمل منجر به یک حمله Denial of Service (DoS) می‌شود که در آن پردازش‌های بعدی سیستم به طور کامل متوقف شده و سرویس از دسترس خارج می‌گردد.
راهکارهای مقابله و رفع مشکل
- به‌روزرسانی: توصیه می‌شود تمامی کاربران سریعاً به نسخه v4.2.0 مهاجرت کنند. در این نسخه، رمزگشایی اعداد صحیح متغیر به uint32 محدود شده است تا از محاسبات runaway جلوگیری شود.
- راهکار موقت (Workaround): در صورتی که به‌روزرسانی فوری امکان‌پذیر نیست، ورودی‌های ارسالی به hpack decoder را برای شناسایی و حذف توالی‌های طولانی از مقادیر
0xFFپاک‌سازی (Sanitize) کنید.
