CVE-2026-77639
Publiée le 2026-08-20 · Dernière modification le 2026-10-18
Les versions de Tor antérieures à la 0.4.9.9 sont vulnérables à une attaque par épuisement des ressources utilisant des données compressées spécialement conçues. Un attaquant non authentifié peut envoyer sur le réseau une série de flux de compression concaténés et de petite taille pour contourner les contrôles de sécurité et potentiellement provoquer le plantage du service. Comme cette attaque ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, elle est relativement facile à exécuter, bien que son impact soit limité à la disponibilité du service.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Tor before 0.4.9.9 was prone to a compression bomb bypass where an attacker could concatenate many gzip or zlib sub-streams, each just under the per-stream detection threshold, to avoid the compression bomb check entirely. This is TROVE-2026-022.