PT-2020-4628 · Apache+1 · Apache Tika+1

CVE-2020-9489 · Publicado 2020-04-24 · Atualizado 2022-10-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Tika anteriores à 1.24.1

Descrição

Um arquivo cuidadosamente criado ou corrompido pode acionar um System.exit no analisador OneNote do Tika. Arquivos criados propositalmente ou corrompidos também podem causar erros de memória insuficiente e/ou loops infinitos nos analisadores ICNSParser, MP3Parser, MP4Parser, SAS7BDATParser, OneNoteParser e ImageParser do Tika. O problema está relacionado a erros de liberação de memória antes que a última referência seja excluída, o que pode ser explorado por um invasor remoto para causar uma negação de serviço.

Recomendações

Para versões anteriores à 1.24.1, atualize para a versão 1.24.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso dos analisadores vulneráveis, como OneNoteParser, ICNSParser, MP3Parser, MP4Parser, SAS7BDATParser e ImageParser, até que a atualização seja aplicada.

Correção

Infinite Loop

Memory Leak

Enumeração de Fraquezas

CWE-835

CWE-401

Identificadores relacionados

BDU:2020-05177

CVE-2020-9489

GHSA-4PV3-63JW-4JW2

Produtos afetados

Apache Tika

Debian

Referências · 22

• https://github.com/apache/tika · Nota
• https://github.com/apache/tika/commit/0f4d5de0f85455e91433fb0b464ea0461d7c891d · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-9489 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-9489 · Aviso do Fabricante
• https://oracle.com/security-alerts/cpuoct2020.html · Correção
• https://lists.apache.org/thread.html/r4cbc3f6981cd0a1a482531df9d44e4c42a7f63342a7ba78b7bff8a1b@%3Cnotifications.james.apache.org%3E · Nota
• https://cve.org/CVERecord?id=CVE-2020-9489 · Nota de Segurança
• https://t.me/cvenotify/3233 · Publicação no Telegram
• https://lists.apache.org/thread.html/r4d943777e36ca3aa6305a45da5acccc54ad894f2d5a07186cfa2442c%40%3Cdev.tika.apache.org%3E · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2020/04/24/1 · Nota
• https://osv.dev/vulnerability/CVE-2020-9489 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-9489 · Aviso do Fabricante
• https://oracle.com/security-alerts/cpujul2021.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-9489 · Nota de Segurança
• https://access.redhat.com/security/cve/cve-2020-9489 · Nota