AMQP 0.9.1 v1.13.0: SASL credential validation, frame & TLS hardening

AMQP 0.9.1 库 v1.13.0 更新关键信息总结 漏洞概述 本次 v1.13.0 版本主要修复了多个安全与稳定性问题，核心是拒绝负值/零值明文 SASL 凭据（由 在 #350 提交），防止因负值或零值凭据引发的异常行为。 影响范围 负值 x 字段长度：安全处理负值 x 字段长度（#344） FrameMax 前体分配上限：将前体分配上限设为 FrameMax（#346） 过长的 longstr：返回错误而非崩溃（#347） 负值预取值：拒绝 QoS 中的负值预取值（#351） TLS 文件路径：强制 URL 编码 TLS 文件路径（#352） AMQP 最小帧大小：强制最小帧大小（#353） TLS 最低版本：显式强制 TLS 1.2 最低版本（#355） 短字符串长度：当短字符串超过 255 字节时返回错误（#354） Channel 数据竞争：消除 Channel 端点与连接操作中的多个数据竞争（#366） 复制帧超过复制帧：拒绝超过复制帧的帧（#369） 拓扑恢复：实现自动拓扑恢复，默认关闭（#362、#367） 自动删除拓扑：在消费者绑定移除时遗忘自动删除拓扑（#363） 实体错误表面化：跳过并继续拓扑恢复，将实体错误表面化（#365） 修复方案 1. 凭据校验：在 的 #350 中，拒绝负值/零值明文 SASL 凭据。 2. 字段长度校验：在 的 #344 中，安全处理负值 x 字段长度。 3. 帧大小限制：在 的 #346 中，将前体分配上限设为 FrameMax。 4. longstr 错误处理：在 的 #347 中，对过长 longstr 返回错误。 5. QoS 校验：在 的 #351 中，拒绝 QoS 中的负值预取值。 6. TLS 路径编码：在 的 #352 中，强制 URL 编码 TLS 文件路径。 7. AMQP 帧大小：在 的 #353 中，强制 AMQP 最小帧大小。 8. TLS 版本：在 的 #355 中，显式强制 TLS 1.2 最低版本。 9. 短字符串校验：在 的 #354 中，当短字符串超过 255 字节时返回错误。 10. 数据竞争修复：在 的 #366 中，消除 Channel 端点与连接操作中的多个数据竞争。 11. 复制帧校验：在 的 #369 中，拒绝超过复制帧的帧。 12. 拓扑恢复：在 的 #362、#367 中，实现自动拓扑恢复，默认关闭。 13. 自动删除拓扑：在 的 #363 中，在消费者绑定移除时遗忘自动删除拓扑。 14. 错误表面化：在 的 #365 中，跳过并继续拓扑恢复，将实体错误表面化。 POC/利用代码 页面中未包含 POC 代码或利用代码。

目標達成すべての支援者に感謝 — 100%達成しました！

AMQP 0.9.1 v1.13.0: SASL credential validation, frame & TLS hardening

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

AMQP 0.9.1 v1.13.0: SASL credential validation, frame & TLS hardening

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！