PT-2021-14375 · Unknown · Schema-Inspector
Erik-Krogh
+1
·
Publicado
2021-03-19
·
Atualizado
2022-06-30
·
CVE-2021-21267
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
**Nome do software vulnerável e versões afetadas:
versões do schema-inspector anteriores à 2.0.0
Descrição:
A validação de endereços de e-mail no schema-inspector está vulnerável a um ataque de negação de serviço em que alguma entrada, por exemplo
a@0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0. 0.0.0.0.0.0.0.0.0.0. congelam o programa ou a página do navegador da web que estiver executando o código. Isso afeta todos os usuários atuais do schema-inspector que utilizam qualquer versão para validar endereços de e-mail. Os usuários que não realizam validação de e-mail, mas realizam outros tipos de validação, não são afetados.Recomendações:
Para resolver o problema, atualize para a versão 2.0.0, que utiliza uma expressão regex que não é vulnerável ao ReDoS.
Como solução alternativa temporária, considere interromper o uso do recurso de validação de e-mail na biblioteca. Por exemplo, aceite o endereço de e-mail no sistema, mas salve-o em um estado “ainda não validado” até que um e-mail de verificação seja enviado para ele.
Exploit
Correção
RCE
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Schema-Inspector