2026-3123: cargo-rpmstatus, orjson, quick-xml: Zwei Schwachstellen ermöglichen einen Denial-of-Service-Angriff

Historie:

Version 1 (2026-07-07 09:50): Neues Advisory
Version 2 (2026-07-09 15:52): Für Fedora 43 und 44 stehen die Pakete 'rust-cargo-rpmstatus-0.2.5-2' und 'rust-opendal-0.55.0-2' im Status 'testing' bereit, um die Schwachstellen in quick-xml zu beheben.
Version 3 (2026-07-13 10:45): Für Fedora 43 und 44 steht das Paket 'python-orjson-3.11.9-3' im Status 'testing' bereit.

Betroffene Software

Entwicklung
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Für Fedora 44 stehen die Pakete 'mir-2.26.0-2', 'rust-ashpd-0.13.12-2', 'rust-busd-0.5.0-3', 'rust-gtk4-macros-0.11.4-2', 'rust-inferno-0.12.6-3', 'rust-quick-xml-0.41.0-1', 'rust-reqsign-aws-v4-3.0.1-2', 'rust-wayland-scanner-0.31.10-3' und 'sandogasa-0.15.3-2' im Status 'stable' sowie das Paket 'breezy-3.3.21-2' im Status 'testing' bereit.

Für Fedora 43 stehen die Pakete 'rust-busd-0.5.0-3', 'rust-inferno-0.12.6-3', 'rust-quick-xml-0.41.0-1', 'rust-reqsign-aws-v4-3.0.1-2', 'rust-wayland-scanner-0.31.10-3' und 'sandogasa-0.15.3-2' im Status 'stable' bereit.

Für Fedora EPEL 10.3 stehen die Pakete 'rust-quick-xml-0.41.0-1', 'rust-reqsign-aws-v4-3.0.1-2', 'rust-wayland-scanner-0.31.10-3' und 'sandogasa-0.15.3-2' im Status 'stable' bereit.

Für Fedora EPEL 9 stehen die Pakete 'rust-quick-xml-0.41.0-1', 'rust-wayland-scanner-0.31.10-3' und 'sandogasa-0.15.3-2' im Status 'stable' bereit.

Schwachstellen:

RUSTSEC-2026-0194

Schwachstelle in quick-xml ermöglicht Denial-of-Service-Angriff

RUSTSEC-2026-0195