PT-2020-18334 · Github+4 · Github Flavored Markdown+4

Jonas Wagner · Publicado 2020-07-01 · Atualizado 2023-10-06 · CVE-2020-5238

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do GitHub Flavored Markdown anteriores à 0.29.0.gfm.1

Descrição

O problema está relacionado à complexidade temporal da análise de determinadas tabelas Markdown, que pode levar um tempo de O(n * n). Um invasor poderia criar uma tabela Markdown para causar uma negação de serviço. Este problema não afeta o projeto cmark upstream.

Recomendações

Para versões anteriores à 0.29.0.gfm.1, atualize para a versão 0.29.0.gfm.1 para resolver o problema. Como solução temporária, considere restringir o uso de tabelas Markdown até que a atualização seja aplicada.

Correção

DoS

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

ALSA-2021:1972

CESA-2021_1972

CVE-2020-5238

GHSA-7GC6-9QR5-HC85

RHSA-2021:1972

RHSA-2021_1972

RSEC-2023-6

Produtos afetados

Almalinux

Centos

Debian

Github Flavored Markdown

Red Hat

Referências · 19

• https://github.com/github/cmark-gfm/commit/85d895289c5ab67f988ca659493a64abb5fec7b4 · Correção
• https://github.com/github/cmark-gfm/security/advisories/GHSA-7gc6-9qr5-hc85 · Nota
• https://github.com/r-lib/commonmark/pull/18 · Nota
• https://github.com/r-lib/commonmark/issues/13 · Nota
• https://osv.dev/vulnerability/CVE-2020-5238 · Aviso do Fabricante
• https://vulners.com/cve/CVE-2020-5238 · Nota
• https://osv.dev/vulnerability/ALSA-2021:1972 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-5238 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZGJH2A4VAV54X6NSCNNGSEIGIIY5N2VR · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TCDHBTUFIOYRIS5HAS6PZNBNMB7IOAX3 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-5238 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-5238 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WMQFOQQCWOAMQ4I2XIVCVOXXIJ75HDCW · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-5238 · Aviso do Fabricante
• https://errata.almalinux.org/8/ALSA-2021-1972.html · Aviso do Fabricante