PT-2021-19594 · Rkyv · Rkyv

Publicado 2021-04-28 · Atualizado 2022-07-12 · CVE-2021-31919

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do rkyv anteriores à 0.6.0

Descrição:

O problema diz respeito ao crate rkyv, uma estrutura de serialização para Rust, na qual os arquivos criados por meio da serialização podem conter valores não inicializados de certas partes das estruturas. Isso ocorre porque, durante a serialização, os bytes de preenchimento da estrutura e os bytes de enumeração não utilizados podem não ser inicializados, o que pode levar a que esses bytes sejam gravados em disco ou enviados por canais não seguros.

Recomendações:

Para versões anteriores à 0.6.0, atualize para a versão 0.6.0 ou posterior para resolver o problema.

Correção

Use of Uninitialized Resource

Missing Release of Resource after Effective Lifetime

Enumeração de Fraquezas

CWE-909

CWE-908

CWE-772

Identificadores relacionados

CVE-2021-31919

GHSA-W5CR-FRPH-HW7F

RUSTSEC-2021-0054

Produtos afetados

Rkyv

Referências · 9

• https://github.com/djkoloski/rkyv/commit/f141b560523a20557db6540576d153010bd18712 · Nota
• https://github.com/djkoloski/rkyv/commit/9c65ae9c2c67dd949b5c3aba9b8eba6da802ab7e · Nota
• https://github.com/djkoloski/rkyv/issues/113 · Nota
• https://osv.dev/vulnerability/RUSTSEC-2021-0054 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w5cr-frph-hw7f · Aviso do Fabricante
• https://crates.io/crates/rkyv · Nota
• https://osv.dev/vulnerability/CVE-2021-31919 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2021-0054.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-31919 · Nota de Segurança