PT-2020-15644 · Taoensso · Taoensso Nippy

Publicado 2020-09-11 · Atualizado 2022-02-10 · CVE-2020-24164

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Taoensso Nippy anteriores à 2.14.2

Descrição

Existe uma falha de desserialização que permite que um invasor crie uma carga maliciosa capaz de executar código arbitrário ao ser desserializada. Esse problema surge devido ao uso automático da interface Java Serializable.

Recomendações

Para versões anteriores à 2.14.2, atualize para a versão 2.14.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir a desserialização de dados não confiáveis para minimizar o risco de exploração.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2020-24164

GHSA-P5GM-FGFX-HR7H

Produtos afetados

Taoensso Nippy

Referências · 5

• https://github.com/ptaoussanis/nippy/issues/130 · Nota
• https://github.com/ptaoussanis/nippy/commit/61fb009fdde2994140f2da2e495ba8af3a873eb2 · Nota
• https://osv.dev/vulnerability/GHSA-p5gm-fgfx-hr7h · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-24164 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-24164 · Aviso do Fabricante