La vulnerabilidad de día 0 de la biblioteca Buffa Rust de Anthropic permite ataques DoS

Se ha descubierto que la implementación de protobuf basada en Rust de Anthropic, buffa, es vulnerable a una condición de denegación de servicio (DoS) de zero-day causada por la asignación ilimitada del montón en la entrada controlada por el atacante. La falla, ahora rastreada como CVE-2026-55407 y GHSA-f9qc-qg88-7pq5, afecta a las versiones buffa y connectrpc anteriores a 0.8.0 y ha sido calificada como CVSS 4.0/6.3 (moderada).

Biblioteca Buffa Rust de Anthropic de día 0 Una protección garantiza que el búfer contenga al menos len bytes, evitando lecturas fuera de límites, pero no restringe la asignación en sí, lo que deja espacio para que un atacante fuerce grandes asignaciones de montón proporcionando campos de gran tamaño delimitados por longitud. La revisión inicial de esta ruta sugirió una amplificación de aproximadamente el doble entre el tamaño de entrada y el uso del montón, lo cual es significativo pero a menudo manejable bajo límites de entrada estrictos. Debido a que el campo anidado más barato en el cable se puede codificar en solo dos bytes, pero cada uno da como resultado una asignación de montón de aproximadamente 40 bytes más una sobrecarga de crecimiento, un grupo cuidadosamente diseñado puede expandir una entrada relativamente pequeña en una enorme estructura en memoria. La prueba de concepto de Endor Labs demostró que una payload de protobuf de 64 MiB que contiene millones de campos varint mínimos dentro de un único grupo desconocido podría impulsar el uso del montón a alrededor de 1,4 GiB, aproximadamente 22 veces el tamaño de entrada.

Anthropic ha publicado correcciones en buffa y connectrpc versión 0.8.0, implementando un límite configurable por mensaje en campos desconocidos que limita la sobrecarga máxima de asignación a aproximadamente decenas de megabytes, incluso bajo entrada hostil. No obstante, el descubrimiento destaca que depender únicamente de límites de tamaño de entrada es insuficiente, ya que la ruta de amplificación del grupo puede convertir un tamaño de mensaje aparentemente seguro en una asignación fatal para el proceso.

Consultar publicación original ↗