🟠 《高危安全漏洞：CVE-2026-55768》

CVSS 评分: 高危（8.7）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-55768 涉及 GoAccess 软件中的一个安全漏洞。GoAccess 是一款运行在 *nix 系统终端或通过浏览器访问的实时 Web 日志分析器和交互式查看器。该漏洞存在于其内置的 WebSocket 服务器中。

在版本 1.11 之前，WebSocket 服务器在处理接收到的数据帧时，存在一个整数截断（CWE-681）与资源分配失控（CWE-789）的复合问题。具体来说，服务器在强制检查最大帧大小之前，会将一个 64 位的扩展帧长度（extended frame length）错误地截断（narrows）为有符号的 32 位整型（signed 32-bit），并赋值给 WSFrame.payloadlen 字段。由于这种类型转换，攻击者可以构造一个特制的 WebSocket 数据帧，使其在通过最大帧大小检查时表现为一个较小的合法值，但在实际内存分配时却对应一个巨大的数值。这导致服务器尝试分配一个约 18 EB（exabyte，艾字节）的内存空间，从而直接耗尽系统资源并导致进程崩溃（拒绝服务）。

该漏洞已在 GoAccess 1.11 版本中修复。

影响范围

  • 受影响软件：GoAccess
  • 受影响版本：所有低于 1.11 的版本
  • 不受影响版本：GoAccess 1.11 及更高版本

风险分析

  • 攻击向量：远程攻击，无需认证（AV:N / AC:L / PR:N / UI:N）。
  • 攻击后果：攻击者可以通过网络向 GoAccess 内置的 WebSocket 服务器发送一个精心构造的数据帧，触发该漏洞。由于内存分配请求巨大（约 18 EB），进程会立即因内存耗尽（out-of-memory）而被操作系统终止，导致服务完全不可用。这是一种典型的拒绝服务（Denial of Service, DoS）攻击。
  • 影响范围：该漏洞仅影响服务的可用性（Availability, VA:H），不涉及机密性（VC:N）或完整性（VI:N）。由于攻击无需任何用户交互或权限，且利用复杂度低（AC:L），因此具有较高的实际威胁性，可能导致依赖 GoAccess 进行日志分析的 Web 服务监控中断。

🔍 技术细节

字段 值
CVE ID CVE-2026-55768
CVSS 评分 8.7 🟠
严重程度 高危
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-681,CWE-789
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 security-advisories@github.com

🔗 参考链接