🟠 《高危安全漏洞：CVE-2026-67183》

CVSS 评分: 高危（8.7）　　状态: Received　　发布时间: 2026-07-28

漏洞简介

CVE-2026-67183 是一个存在于 TinyWeb（版本 ≤ 0.0.8）中的内存泄漏（memory leak）漏洞，对应 CWE-401（内存释放不当）。该漏洞允许未经身份验证的攻击者通过发送普通且格式正确的 HTTP 请求（well-formed HTTP requests），耗尽目标服务器的可用内存，最终导致拒绝服务（Denial of Service, DoS）。

具体技术细节如下：

  • 漏洞位于 HttpParser::execute() 函数中。每次处理一个 HTTP 请求时，该函数会通过原始的 new 表达式（raw new expressions）分配多个对象，包括 Url 对象、HttpHeaders 对象以及 HttpHeader 实例。
  • 由于代码中缺少析构函数（destructors）且存在无法到达的 delete 调用（unreachable delete calls），这些分配的对象永远不会被释放。
  • 每个请求会导致工作进程（worker process）的常驻内存（resident memory）单调增长约 20 到 28 kB。随着请求数量的增加，内存持续累积，直至工作进程因内存耗尽（memory exhaustion）而被操作系统杀死。

影响范围

  • 受影响软件：TinyWeb
  • 受影响版本：0.0.8 及之前的所有版本（through 0.0.8）
  • 攻击条件：攻击者无需任何身份验证（unauthenticated），只需能够向目标服务器发送 HTTP 请求即可触发漏洞。

风险分析

  • 攻击向量：远程网络攻击（AV:N），攻击复杂度低（AC:L），无需特权（PR:N），无需用户交互（UI:N）。
  • 主要影响：可用性（Availability）受到严重影响（VA:H）。攻击者通过持续发送普通 HTTP 请求，可逐步耗尽服务器内存，导致工作进程崩溃或服务完全不可用。机密性（VC:N）和完整性（VI:N）不受直接影响。
  • 潜在后果：
    • 服务中断：服务器因内存耗尽而无法响应合法用户的请求。
    • 资源耗尽：即使单个请求的内存泄漏量较小（约 20-28 kB），大量请求累积后仍可迅速耗尽内存资源。
    • 连锁反应：如果服务器采用多进程/多线程模型，单个工作进程被杀死可能导致连接池耗尽或整体服务降级。
  • CVSS 评分：根据 CVSS:4.0 向量，该漏洞基础评分为 7.5（高危），主要由于远程、低复杂度、无需认证即可造成高可用性损失。

🔍 技术细节

字段 值
CVE ID CVE-2026-67183
CVSS 评分 8.7 🟠
严重程度 高危
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-401
发布时间 2026-07-28
最后更新 2026-07-28
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接