| CVE ID | CVE-2026-42504 |
| Severity | HIGH — CVSS 3.1 7.5 |
| Vector | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| Produk | Go standard library / mime — 0 (affected), 1.26.0-0 (affected) |
| Dipublikasikan | 2026-06-02 |
Ringkasan Cepat
- CVE-2026-42504 adalah kerentanan HIGH 7.5 pada paket mime di Go standard library.
- DecodeHeader dapat mengonsumsi CPU berlebihan saat memproses header MIME dengan banyak encoded-word tidak valid.
- Versi 0 dan 1.26.0-0 terdampak; ikuti patch dan informasi resmi dari kanal Go.
Ringkasan Kerentanan
CVE-2026-42504 adalah kerentanan pada paket mime di Go standard library. Judul CNA-nya adalah Quadratic complexity in WordDecoder.DecodeHeader in mime.
Deskripsi resmi menyatakan bahwa decoding header MIME yang dibuat secara jahat dan berisi banyak encoded-word tidak valid dapat mengonsumsi CPU berlebihan.
- Severity: HIGH 7.5
- Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- CWE: tidak tercantum
- Tanggal publikasi: 2026-06-02T22:01:37.219Z
Dampak Teknis
Berdasarkan vektor CVSS 3.1, kerentanan ini dapat dipicu dari jaringan (AV:N), memiliki kompleksitas serangan rendah (AC:L), tidak memerlukan hak istimewa (PR:N), dan tidak memerlukan interaksi pengguna (UI:N). Dampak yang dinilai hanya pada ketersediaan (A:H), sedangkan kerahasiaan (C:N) dan integritas (I:N) tidak terdampak.
Dalam praktik, pemrosesan header MIME berbahaya dapat menyebabkan konsumsi CPU berlebihan. Kondisi ini berpotensi menurunkan kinerja atau menyebabkan gangguan ketersediaan layanan yang memproses input MIME dari sumber tidak tepercaya.
Produk Terdampak
Produk yang terdampak menurut data resmi:
- Vendor: Go standard library
- Produk: mime
- Versi terdampak: 0 (affected), 1.26.0-0 (affected)
Organisasi perlu memeriksa apakah aplikasi, layanan, atau dependensi Go mereka menggunakan paket mime pada versi tersebut.
Konteks dan Referensi Resmi
Kerentanan ini dipublikasikan pada 2026-06-02T22:01:37.219Z. Untuk informasi resmi, lihat issue Go 79217, CL 774481, pengumuman golang-announce, dan entri pkg.go.dev/vuln/GO-2026-5038.
Referensi: https://go.dev/issue/79217 ; https://go.dev/cl/774481 ; https://groups.google.com/g/golang-announce/c/tKs3rmcBcKw ; https://pkg.go.dev/vuln/GO-2026-5038
Mitigasi dan Perbaikan
- Inventarisasi aplikasi, layanan, dan dependensi Go yang menggunakan paket mime dari Go standard library, khususnya versi 0 atau 1.26.0-0.
- Terapkan patch atau pembaruan resmi dari kanal Go sesuai arahan pada issue 79217, CL 774481, dan pengumuman golang-announce; pantau entri GO-2026-5038.
- Jika pembaruan belum dapat diterapkan, batasi ukuran header MIME dan jumlah encoded-word yang diproses sebagai mitigasi sementara.
- Tambahkan pemantauan CPU dan log parsing MIME untuk mendeteksi lonjakan tak wajar pada layanan yang menerima input MIME.
- Prioritaskan patch pada layanan yang terekspos jaringan dan memproses header MIME dari sumber tidak tepercaya karena vektor CVSS menunjukkan AV:N dan UI:N.
Referensi Resmi
- CVE-2026-42504 — CVE Program (cve.org)
- https://go.dev/issue/79217
- https://go.dev/cl/774481
- https://groups.google.com/g/golang-announce/c/tKs3rmcBcKw
- https://pkg.go.dev/vuln/GO-2026-5038
Artikel ini disusun dari data publik CVE Program (cve.org). Selalu verifikasi patch resmi dari vendor sebelum menerapkan perubahan.
Pertanyaan yang Sering Diajukan (FAQ)
Apa itu CVE-2026-42504?
Produk dan versi apa yang terdampak?
Seberapa serius kerentanan ini?
Apakah kerentanan ini berdampak pada pencurian data?
Di mana informasi resmi dapat dilihat?
Kapan CVE ini dipublikasikan?
English Version — CVE-2026-42504: CPU Consumption Vulnerability in Go MIME
Quick Summary
- CVE-2026-42504 is a HIGH 7.5 vulnerability in the mime package in the Go standard library.
- DecodeHeader can consume excessive CPU when processing MIME headers with many invalid encoded-words.
- Versions 0 and 1.26.0-0 are affected; follow patches and official information from Go channels.
Vulnerability Summary
CVE-2026-42504 is a vulnerability in the mime package in the Go standard library. Its CNA title is Quadratic complexity in WordDecoder.DecodeHeader in mime.
The official description states that decoding maliciously crafted MIME headers containing many invalid encoded-words can consume excessive CPU.
- Severity: HIGH 7.5
- CVSS vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- CWE: not listed
- Publication date: 2026-06-02T22:01:37.219Z
Technical Impact
Based on the CVSS 3.1 vector, this vulnerability can be triggered from the network (AV:N), has low attack complexity (AC:L), does not require privileges (PR:N), and does not require user interaction (UI:N). The assessed impact is only on availability (A:H), while confidentiality (C:N) and integrity (I:N) are not affected.
In practice, processing malicious MIME headers can cause excessive CPU consumption. This condition can potentially degrade performance or cause availability disruptions for services that process MIME input from untrusted sources.
Affected Products
Affected products according to official data:
- Vendor: Go standard library
- Product: mime
- Affected versions: 0 (affected), 1.26.0-0 (affected)
Organizations need to check whether their Go applications, services, or dependencies use the mime package in those versions.
Context and Official References
This vulnerability was published on 2026-06-02T22:01:37.219Z. For official information, see Go issue 79217, CL 774481, the golang-announce announcement, and the entry pkg.go.dev/vuln/GO-2026-5038.
References: https://go.dev/issue/79217 ; https://go.dev/cl/774481 ; https://groups.google.com/g/golang-announce/c/tKs3rmcBcKw ; https://pkg.go.dev/vuln/GO-2026-5038
Mitigation
- Inventory applications, services, and Go dependencies that use the mime package from the Go standard library, especially versions 0 or 1.26.0-0.
- Apply patches or official updates from Go channels as directed in issue 79217, CL 774481, and the golang-announce announcement; monitor entry GO-2026-5038.
- If updates cannot yet be applied, limit MIME header size and the number of encoded-words processed as a temporary mitigation.
- Add CPU monitoring and MIME parsing logs to detect abnormal spikes in services that accept MIME input.
- Prioritize patching for network-exposed services that process MIME headers from untrusted sources because the CVSS vector indicates AV:N and UI:N.
Komentar
Posting Komentar