XX-Net V5.16.6 содержит уязвимость разбора кадров WebSocket в рутине WebSocket_receive_worker simple_http_server.py, которая позволяет злоу…

XX-Net V5.16.6 содержит уязвимость разбора кадров WebSocket в рутине WebSocket_receive_worker simple_http_server.py, которая позволяет злоумышленникам вызывать поврежденные данные приложения, отправляя разоблаченных фреймов WebSocket. Сервер безоговорочно считывает 4 байта в качестве клавиши маскировки независимо от того, установлен ли бит MASK в заголовке кадра, в результате чего первые 4 байта полезной нагрузки потребляются в качестве ключа маски, а оставшаяся пополняемая нагрузка неправильно расшифровывается XOR, что приводит к повреждению данных наряду с отсутствием RSV, форс-кодом и фиксацией FIN.