Nezha Dashboard Unbounded WebSocket Streams DoS Vulnerability (CVE-2026-5352) Analysis

漏洞概述 漏洞名称: Unbounded WebSocket Streams — Resource Exhaustion DoS CVE ID: CVE-2026-5352 CVSS 评分: 6.5 / 10 严重程度: 中等 描述: Nezha 仪表板暴露了两个端点，用于创建长期 WebSocket 流到监控代理： — (terminal.go:27-67) — (fm.go:29-67) 这两个端点都会调用 ，该函数会将一个新的 插入到一个无界映射 中。每个流分配： 1. 一个 结构体，包含多个通道和同步原语。 2. 两个通过 启动的 goroutine（go-stream.go:358-369）— 双向 。 3. 仪表板和代理之间的 gRPC 流。 4. 代理端的 PTYshell 进程。 漏洞代码: PoC: 影响范围 仪表板内存/资源耗尽: 每个流添加 goroutine、通道和缓冲区。 代理资源: 每个流在监控代理上生成 PTYshell 进程。 gRPC 连接池: 并发 IOStreams 消耗 gRPC 多路复用容量。 潜在影响: 拒绝服务 (DoS): 仪表板内存耗尽、goroutine 饥饿或 gRPC 流表溢出。 监控代理拒绝服务: 每个终端会话生成 PTYshell 进程 — 攻击者可以崩溃或降级所有代理。 操作级联: 如果仪表板 OOMs，所有监控和警报丢失。 PAT 连接注册表绕过: 快速创建-连接-断开循环可能逃避清理跟踪。 修复方案 1. 每用户流限制: 在 中实施 — 如果用户已有 N 个活动流（例如，每用户 10 个）： 2. 每服务器信号量: 限制并发流到单个服务器（例如，每服务器 20 个）。 3. 速率限制器: 在 和 中 — 镜像现有的 MCP 速率限制器 ( ) 用于遗留 WebSocket 端点。 4. 可配置的最大流数: 添加 设置，以便操作员无需代码更改即可调整限制。

目標達成すべての支援者に感謝 — 100%達成しました！

Nezha Dashboard Unbounded WebSocket Streams DoS Vulnerability (CVE-2026-5352) Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Nezha Dashboard Unbounded WebSocket Streams DoS Vulnerability (CVE-2026-5352) Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！