Crow: Denial of Service über tief verschachteltes JSON in crow::json::load()

Zusammenfassung

Crow, ein C++-Framework für HTTP- und WebSocket-Dienste, enthält eine unkontrollierte Rekursion (CWE-674) in crow::json::load(). Ein entfernter, nicht authentifizierter Angreifer kann einen Request-Body mit tausenden verschachtelten JSON-Objekten senden und so den Stack des Worker-Threads erschöpfen. Der Serverprozess bricht daraufhin ab und alle offenen Verbindungen werden getrennt. Betroffen ist nur die Verfügbarkeit; ob eine mit Crow erstellte Anwendung gefährdet ist, hängt davon ab, ob sie unvertrauenswürdiges JSON verarbeitet.

Betroffen

• Crow-Versionen vor 1.3.4 (CVE-Eintrag: betroffen 0 bis < 1.3.4)
• CVSS-4.0-Basiswert 8.7 (HOCH) gemäss Angabe; NVD-Analyse zum Zeitpunkt der Erstellung ausstehend

Behoben in

• Auf Crow 1.3.4 oder neuer aktualisieren (Fix-Commit 6956b7c, begrenzt die JSON-Parser-Tiefe auf 1024)
• Vor der Wahl der Zielversion die Release-Seite von Crow auf die neueste stabile Version prüfen

Umgehung

• Kein Workaround des Herstellers bekannt; die Behebung erfolgt durch ein Update
• Bis zum Update: Grösse des Request-Bodys und die JSON-Verschachtelung auf einem Reverse Proxy oder WAF begrenzen, JSON-Endpunkte einschränken und einen automatischen Neustart des Dienstes konfigurieren

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; nicht als bekanntermassen ausgenutzt gelistet
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
• Der Status öffentlicher Proof-of-Concepts ist nicht verifiziert; eine Ausnutzung ist als möglich zu betrachten

Unsere Empfehlung

• Gesamte Crow-Nutzung erfassen (Quellcode, Conan, vcpkg, Binärdateien) und extern erreichbare Instanzen identifizieren
• Auf Version 1.3.4 oder neuer aktualisieren und die eingesetzte Version überprüfen
• Exposition der JSON-Endpunkte einschränken und bis zur Behebung auf Dienstabstürze und Neustarts achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  D7EAD/CVE-2026-116011

Quellen der Recherche

• GitHub Security Advisory GHSA-7x84-xhp8-6cqj github.com
• VulnCheck advisory: Crow before 1.3.4 DoS via deeply nested JSON www.vulncheck.com
• Crow release v1.3.4 github.com
• Fix commit 6956b7c: JSON parser depth limit github.com
• Crow json.h at v1.3.3 github.com
• VulDB entry 426108 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:21.