Joseph Farebrother

**Name of the Vulnerable Software and Affected Versions** Redisson versions prior to 3.22.0 **Description** The issue concerns a Java Redis client that uses the Netty framework. Prior to version 3.22.0, some messages received from the Redis server contain Java objects that the client deserializes without further validation. Attackers can trick clients into communicating with a malicious server, including specially crafted objects in its responses that, once deserialized by the client, force it to execute arbitrary code. This can be abused to take control of the machine the client is running on. **Recommendations** For versions prior to 3.22.0, update to version 3.22.0 to resolve the issue. As a temporary workaround, consider restricting the allowed classes for deserialization by using the `SerializationCodec(ClassLoader classLoader, Set<String> allowedClasses)` constructor. Avoid using the `Kryo5Codec` as deserialization codec, as it is still vulnerable to arbitrary object deserialization due to the `setRegistrationRequired(false)` call. Use `KryoCodec` as a safe alternative for deserialization.

**Name of the Vulnerable Software and Affected Versions** Aerospike Java Client versions prior to 7.0.0 Aerospike Java Client versions prior to 6.2.0 Aerospike Java Client versions prior to 5.2.0 Aerospike Java Client versions prior to 4.5.0 **Description** The Aerospike Java client has a vulnerability related to the deserialization of Java objects received from the server. Attackers can trick clients into communicating with a malicious server, which can include crafted objects in its responses that force the client to execute arbitrary code when deserialized. This can be abused to take control of the machine the client is running on. The issue is related to the `ObjectInputStream` used in the `Buffer.bytesToObject` method, which deserializes objects from the message bytes without proper validation. **Recommendations** For versions prior to 7.0.0, update to version 7.0.0 or later. For versions prior to 6.2.0, update to version 6.2.0 or later. For versions prior to 5.2.0, update to version 5.2.0 or later. For versions prior to 4.5.0, update to version 4.5.0 or later. As a temporary workaround, consider avoiding deserialization of untrusted data if possible, and use other formats like JSON or XML instead of serialized objects. However, be aware that these formats should not be deserialized into complex objects to minimize attack opportunities.

**Nome do software vulnerável e versões afetadas** Versões do Apache OFBiz anteriores à 18.12.06 **Descrição** O problema decorre da forma como o Apache OFBiz lida com URLs fornecidas por usuários externos não autenticados, tornando-o vulnerável a ataques de negação de serviço por expressão regular (ReDoS). **Recomendações** Para versões anteriores à 18.12.06, atualize para a versão 18.12.06 ou aplique os patches necessários para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Apache Tapestry até a 5.8.1 **Descrição** O problema está relacionado a um ataque de negação de serviço por expressão regular (ReDoS) na forma como o Apache Tapestry lida com tipos de conteúdo. Tipos de conteúdo especialmente criados podem causar um backtracking catastrófico, levando um tempo exponencial para ser concluído, devido à expressão regular usada no parâmetro da classe `org.apache.tapestry5.http.ContentType`. Essa vulnerabilidade não pode ser acionada apenas por solicitações da web no código do Tapestry e só ocorreria se código não pertencente ao Tapestry passasse entradas externas para o construtor da classe `ContentType`. **Recomendações** Para versões do Apache Tapestry até a 5.8.1, atualize para a versão 5.8.2 para resolver o problema. Como solução temporária, considere restringir o uso da classe `org.apache.tapestry5.http.ContentType` para minimizar o risco de exploração, especialmente ao lidar com entradas externas.