VULNERABILIDADDetectada 05 NOV · 14:28

CVE-2026-123096 Agotamiento de memoria en anacrolix/torrent por respuestas HTTP de tracker sin límite

El paquete tracker/http de anacrolix/torrent hasta 1.61.0 almacena sin límite las respuestas announce y scrape de trackers HTTP, incluso comprimidas con gzip. Un atacante que controle un tracker incluido en un torrent o magnet link puede agotar la memoria del proceso y provocar su caída.

6.5MEDIA

CVSS 3.1

CVSS 4.07.1 · alta
Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

anacrolix torrent
hasta 1.61.0

Qué hacer

Verificá si usás torrent y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioRequerida
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadNinguna
DisponibilidadAlta

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosNinguno
Interacción del usuarioPasiva
Confidencialidad (sistema vulnerable)Ninguna
Integridad (sistema vulnerable)Ninguna
Disponibilidad (sistema vulnerable)Alta
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

anacrolix/torrent through 1.61.0 contains a memory exhaustion vulnerability in the tracker/http package that allows malicious trackers to crash clients by returning unbounded responses. Attackers controlling an HTTP tracker in a torrent file or magnet link can return huge or gzip-compressed announce or scrape responses that Client.Announce and Client.Scrape buffer without limits, exhausting process memory.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.