Bugsink遭遇未授权远程DoS攻击：CVE-2025-64508漏洞分析

漏洞概述

Bugsink软件存在一个高危漏洞（CVE-2025-64508），攻击者可通过特制的Brotli输入发起未授权的远程拒绝服务（DoS）攻击。

影响版本

• 受影响版本：< 2.0.5
• 已修复版本：2.0.5

漏洞详情

影响分析

在受影响版本中，攻击者可以向服务器发送Brotli"炸弹"（高度压缩的Brotli流，如大量零数据）。由于服务器在应用各种限制之前会尝试解压缩这些数据流，这可能导致可用内存耗尽，从而造成拒绝服务。

此攻击可在知道DSN（数据源名称）的情况下执行，而DSN在许多常见设置（如JavaScript、移动应用）中是公开的。

修复措施

该漏洞已在Bugsink 2.0.5版本中修复。

技术细节

CVSS评分

• 总体评分：7.5（高危）
• 攻击向量：网络
• 攻击复杂度：低
• 所需权限：无
• 用户交互：无
• 范围：未改变
• 机密性：无影响
• 完整性：无影响
• 可用性：高影响

弱点分类

• CWE-770：无限制的资源分配
• 产品在代表参与者分配可重用资源时，未对资源大小或数量施加任何限制，违反了该参与者的预期安全策略。

参考链接

• GHSA-fc2v-vcwj-269v
• https://nvd.nist.gov/vuln/detail/CVE-2025-64508
• google/brotli#1327
• google/brotli#1375
• bugsink/bugsink#266
• google/brotli#1234
• bugsink/bugsink@3f65544
• google/brotli@67d78bc
• https://github.com/google/brotli/releases/tag/v1.2.0