CVE-2026-78662

highPriorität · verfolgen · 0EPSS 0.004 · 37. PerzentilFRUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.43% (37th) EPSS

CVSS 7.5 · high

Is it mine?

2 products

Prüfe deine Angriffsfläche

Who says so?

3 sources

nvd · osv · certfr

EPSS · bewertet 2026-10-28

Previously, a channel registered in the mux's chanList is not usable until it is established. A malicious peer was able flood the channel's incomingRequests, deadlocking the entire connection. Now, we add an atomic established state, set when a channel becomes usable. Until such a time, handlePacket drops every packet other than the open confirmation/failure, without blocking and without tearing down the connection.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 6.9–7.5

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NsecondaryAusnutzbarkeit 3.9 · Auswirkung 3.6

v3.16.9mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: yes · Technical Impact: partialcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-770US

betroffene Produkte (2)

Betroffene Produkte und Versionsbereiche.

golang crypto< 0.56.0nvdUScpe:2.3:a:golang:crypto:*:*:*:*:*:*:*:*
Go golang.org/x/crypto< 0.56.0osvUSpkg:golang/golang.org/x/crypto

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

CERTFR-2026-AVI-1385Multiples vulnérabilités dans les produits VMwareFrançais2026-10-26vendor · certfrFR
GO-2026-6354Prevent DoS on deadlocked undecided channel in golang.org/x/crypto/ssh2026-09-02vendor · osvUS
Previously, a channel registered in the mux's chanList is not usable until it is established. A malicious peer was able flood the channel's incomingRequests, deadlocking the entire connection. Now, we add an atomic established state, set when a channel becomes usable. Until such a time, handlePacket drops every packet other than the open confirmation/failure, without blocking and without tearing down the connection.

quellen

Welche Quellen diesen Datensatz belegen und wann.

nvd osv certfr NVD CVE.org MITRE

veröffentlicht 2026-09-02geändert 2026-09-04

Referenzen (4) nvd

Externe Belege — Patches, Meldungen, Analysen.

https://go.dev/cl/826504Patch
https://go.dev/issue/81316Issue TrackingVendor Advisory
https://groups.google.com/g/golang-announce/c/1y3fb2np35UMailing ListVendor Advisory
https://pkg.go.dev/vuln/GO-2026-6354PatchVendor Advisory

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan