klauspost compress: Denial of Service durch Panic im zstd-Decoder

Zusammenfassung

Die Go-Kompressionsbibliothek klauspost/compress enthält einen Fehler im zstd-Decoder. Ein manipulierter zstd-Frame mit zwei Blöcken kann dazu führen, dass der Decoder der Funktion DecodeAll oder der Streaming-Decoder in eine Panic gerät, wodurch die betroffene Anwendung abbricht. Ein Angreifer muss dazu lediglich manipulierte zstd-Daten an eine Anwendung senden, die unvertrauenswürdige Eingaben dekodiert; eine Authentifizierung ist nicht nötig. Die Auswirkung beschränkt sich auf einen Denial of Service; es sind weder Codeausführung noch Datenabfluss bekannt.

Betroffen

• klauspost/compress (Go-Modul github.com/klauspost/compress) Versionen vor 1.20.2
• Das Advisory hat den Fehler auf v1.20.0 und v1.20.1 reproduziert

Behoben in

• Auf v1.20.2 oder neuer aktualisieren

Umgehung

• Unbekannt. Der Hersteller veröffentlicht keine Workaround-Massnahme.
• Provisorische Massnahme (keine Herstellerempfehlung): Sicherstellen, dass Panics in Request-Handlern abgefangen werden, damit eine einzelne manipulierte Eingabe nicht den gesamten Prozess beendet, und einschränken, welche Eingaben den zstd-Decoder erreichen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Nicht im CISA-KEV-Katalog; EPSS unter 1%.
• CISA SSVC: Exploitation none, automatisierbar ja.
• Downstream-Projekte haben Regressionstests veröffentlicht, die den Absturz reproduzieren.

Unsere Empfehlung

• Prüfen, ob Ihre Anwendungen oder Abhängigkeiten github.com/klauspost/compress verwenden, oft indirekt (zum Beispiel über go.sum oder eine SBOM).
• Auf v1.20.2 oder neuer aktualisieren; vorab prüfen, ob die Go-Toolchain aktualisiert werden muss.
• Anwendungen priorisieren, die zstd-Daten aus unvertrauenswürdigen Quellen dekodieren.
• Sicherstellen, dass Panics in Diensten abgefangen werden, und auf unerwartete Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-fpmh-frq8-7rj8 github.com
• Release v1.20.2 github.com
• Fix commit 7f5d852 github.com
• OSV GHSA-fpmh-frq8-7rj8 osv.dev
• OpenCVE CVE-2026-116591 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:06.