CVE-2026-107840
yopass Prometheus metrics middleware allows remote memory exhaustion through unbounded method labels
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 14.7.0, 0.0.0-20260727191436-61e31ead04a4
Обновите yopass до версии 14.7.0 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка памяти в сервисе yopass из-за отсутствия валидации HTTP-методов в middleware метрик Prometheus. Неаутентифицированный DoS через OOM-killer.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В pkg/server/server.go middleware Prometheus подставляет произвольное значение r.Method прямо в лейбл method метрик yopass_http_requests_total и yopass_http_request_duration_seconds. Catch-all маршрут принимает любые строки в качестве метода.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Бесконечный рост реестра Prometheus метрик, аварийная остановка процесса операционной системой по OOM, рост задержек эндпоинта /metrics и отказ системы мониторинга.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
jhaalsyopass
все ранние➔Fix: 14.7.0
——
>= 0➔Fix: 0.0.0-20260727191436-61e31ead04a4
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/jhaals/yopass/security/advisories/GHSA-6r69-c6wg-7g8m
- github.comhttps://github.com/jhaals/yopass/pull/3773
- github.comhttps://github.com/jhaals/yopass/commit/61e31ead04a4fc27ce80bed226af41c7c0426ccf
- github.comhttps://github.com/jhaals/yopass/commit/78d0c14f7085048130199662a2ec8a18ec8d6ebb
- github.comhttps://github.com/jhaals/yopass/releases/tag/14.7.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-107840: yopass Prometheus metrics middleware allows remote memory exhaustion through unbounded method labels. URL: https://cve.futuretools.ru/cve/CVE-2026-107840
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_107840,
title = {{CVE-2026-107840: yopass Prometheus metrics middleware allows remote memory exhaustion through unbounded method labels}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107840}},
note = {Оперативный инженерный анализ киберугроз}
}