Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-05124

Опубликовано: 09 янв. 2026
Источник: fstec
CVSS3: 8.6
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость протокола сериализации данных Protobuf связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызывать отказ в обслуживании

Вендор

Red Hat Inc.
ООО «Ред Софт»
АО «СберТех»
Google Inc

Наименование ПО

Red Hat Enterprise Linux
Red Hat OpenStack Platform
Red Hat AMQ Clients
Ansible Automation Platform
РЕД ОС
Platform V SberLinux OS Server
Red Hat AI Inference Server
Protobuf

Версия ПО

9 (Red Hat Enterprise Linux)
16.2 (Red Hat OpenStack Platform)
9.0 Update Services for SAP Solutions (Red Hat Enterprise Linux)
9.4 Extended Update Support (Red Hat Enterprise Linux)
- (Red Hat AMQ Clients)
10 (Red Hat Enterprise Linux)
9.2 Update Services for SAP Solutions (Red Hat Enterprise Linux)
2.5 for RHEL 8 (Ansible Automation Platform)
2.5 for RHEL 9 (Ansible Automation Platform)
9.6 Extended Update Support (Red Hat Enterprise Linux)
8.0 (РЕД ОС)
10.0 Extended Update Support (Red Hat Enterprise Linux)
9.2.0-fstec (Platform V SberLinux OS Server)
3.2 (Red Hat AI Inference Server)
3.14.0 (Protobuf)
2 (Ansible Automation Platform)
2.6 for RHEL 9 (Ansible Automation Platform)
до 9.2.0-fstec (Platform V SberLinux OS Server)

Тип ПО

Операционная система
ПО программно-аппаратного средства
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 9
Red Hat Inc. Red Hat Enterprise Linux 9.0 Update Services for SAP Solutions
Red Hat Inc. Red Hat Enterprise Linux 9.4 Extended Update Support
Red Hat Inc. Red Hat Enterprise Linux 10
Red Hat Inc. Red Hat Enterprise Linux 9.2 Update Services for SAP Solutions
Red Hat Inc. Red Hat Enterprise Linux 9.6 Extended Update Support
ООО «Ред Софт» РЕД ОС 8.0
Red Hat Inc. Red Hat Enterprise Linux 10.0 Extended Update Support
АО «СберТех» Platform V SberLinux OS Server 9.2.0-fstec
АО «СберТех» Platform V SberLinux OS Server до 9.2.0-fstec

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,6)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,2)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
Для Protobuf:
https://github.com/protocolbuffers/protobuf/pull/25239
Для Platform V SberLinux OS Server:
Обновление операционной системы до версии 9.2.2-fstec
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2026-0994
Для Platform V SberLinux OS Server:
Обновление операционной системы до версии 9.2.2-fstec или выше
Для Ред ОС:
http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

EPSS

Процентиль: 48%
0.00662
Низкий

8.6 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 8.6
redos
2 месяца назад

Уязвимость protobuf

CVSS3: 7.5
ubuntu
6 месяцев назад

A denial-of-service (DoS) vulnerability exists in google.protobuf.json_format.ParseDict() in Python, where the max_recursion_depth limit can be bypassed when parsing nested google.protobuf.Any messages. Due to missing recursion depth accounting inside the internal Any-handling logic, an attacker can supply deeply nested Any structures that bypass the intended recursion limit, eventually exhausting Python’s recursion stack and causing a RecursionError.

CVSS3: 7.5
redhat
6 месяцев назад

A denial-of-service (DoS) vulnerability exists in google.protobuf.json_format.ParseDict() in Python, where the max_recursion_depth limit can be bypassed when parsing nested google.protobuf.Any messages. Due to missing recursion depth accounting inside the internal Any-handling logic, an attacker can supply deeply nested Any structures that bypass the intended recursion limit, eventually exhausting Python’s recursion stack and causing a RecursionError.

CVSS3: 7.5
nvd
6 месяцев назад

A denial-of-service (DoS) vulnerability exists in google.protobuf.json_format.ParseDict() in Python, where the max_recursion_depth limit can be bypassed when parsing nested google.protobuf.Any messages. Due to missing recursion depth accounting inside the internal Any-handling logic, an attacker can supply deeply nested Any structures that bypass the intended recursion limit, eventually exhausting Python’s recursion stack and causing a RecursionError.

CVSS3: 7.5
debian
6 месяцев назад

A denial-of-service (DoS) vulnerability exists in google.protobuf.json ...

EPSS

Процентиль: 48%
0.00662
Низкий

8.6 High

CVSS3

7.8 High

CVSS2