🟠 《高危安全漏洞：CVE-2026-54609》

CVSS 评分: 高危（8.6）　　状态: Received　　发布时间: 2026-07-28

漏洞简介

CVE-2026-54609 涉及 QTI Neon 库中的一个拒绝服务（Denial of Service, DoS）漏洞。QTI Neon 是一个轻量级、与游戏无关、基于中继（relay）的 UDP 多人游戏协议库。在版本 1.0.0 中，中继服务器在处理 RECONNECT_REQUEST 数据包时存在缺陷。

具体来说，中继服务器在转发 RECONNECT_REQUEST 数据包到目标主机（host）时，没有对数据包数量进行任何限制或边界检查（unbounded forwarding）。这意味着一个未经身份验证的客户端（unauthenticated client）可以向中继服务器发送大量此类请求，中继服务器会不加限制地将这些请求全部转发给目标主机，从而造成 中继到主机的流量放大攻击（relay-to-host amplification）。这种流量放大效应会导致目标主机网络带宽或处理资源被耗尽，最终引发拒绝服务。

该漏洞的 CWE 分类包括：

  • CWE-400：未控制的资源消耗（Uncontrolled Resource Consumption）
  • CWE-406：网络放大（Network Amplification）
  • CWE-770：无限制的资源分配（Allocation of Resources Without Limits or Throttling）

截至本报告编写时，尚无官方修复版本可用。

影响范围

  • 受影响软件：QTI Neon
  • 受影响版本：1.0.0
  • 修复版本：无（截至漏洞报告时）

风险分析

  • 攻击向量：远程网络攻击（Attack Vector: Network）
  • 攻击复杂度：低（Attack Complexity: Low），攻击者无需特殊权限或复杂操作。
  • 所需权限：无（Privileges Required: None），攻击者无需任何身份验证即可发起攻击。
  • 用户交互：无（User Interaction: None），攻击过程不需要目标用户参与。
  • 影响范围：已变更（Scope: Changed），漏洞影响的是中继服务器转发的目标主机，而非中继服务器本身。
  • 机密性影响：无（Confidentiality: None）
  • 完整性影响：无（Integrity: None）
  • 可用性影响：高（Availability: High），攻击可直接导致目标主机服务不可用。

可能的攻击后果：
攻击者可以利用此漏洞，通过向中继服务器发送少量伪造的 RECONNECT_REQUEST 数据包，诱导中继服务器向目标主机发送大量放大后的流量，从而 耗尽目标主机的网络带宽或处理能力，使其无法正常响应合法玩家的连接请求或游戏数据包，导致游戏服务中断。由于攻击者无需认证且攻击复杂度低，该漏洞具有较高的实际利用风险。

🔍 技术细节

字段 值
CVE ID CVE-2026-54609
CVSS 评分 8.6 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
CWE 分类 CWE-400,CWE-406,CWE-770
发布时间 2026-07-28
最后更新 2026-07-28
状态 Received
数据来源 security-advisories@github.com

🔗 参考链接