OpenFGA denial of service

TRUNG BÌNH 6.5CVE-2024-23820 · GHSA-rxpw-85vw-fx87 · GO-2024-2477 · Công bố 26/01/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-23820 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng github.com/openfga/openfga, openfga (openfga).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.73%, cao hơn 54.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.4.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/openfga/openfga Go	`< 1.4.3`	`1.4.3`
openfga openfga	`< 1.4.3`	`1.4.3`

Mô tả

Overview

OpenFGA is vulnerable to a DoS attack. In some scenarios that depend on the model and tuples used, a call to ListObjects may not release memory properly. So when a sufficiently high number of those calls are executed, the OpenFGA server can create an "out of memory" error and terminate.

Fix

Upgrade to v1.4.3. This upgrade is backwards compatible.

Mô tả của NVD

OpenFGA, an authorization/permission engine, is vulnerable to a denial of service attack in versions prior to 1.4.3. In some scenarios that depend on the model and tuples used, a call to `ListObjects` may not release memory properly. So when a sufficiently high number of those calls are executed, the OpenFGA server can create an `out of memory` error and terminate. Version 1.4.3 contains a patch for this issue.