PT-2021-20230 · Vaadin · Vaadin-Server

CVE-2021-33609 · Publicado 2021-10-13 · Atualizado 2022-10-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

**Nome do software vulnerável e versões afetadas:

com.vaadin:vaadin-server, versões 8.0.0 a 8.14.0

Descrição:

O problema é causado por uma verificação ausente na classe DataCommunicator, permitindo que um invasor de rede autenticado provoque esgotamento da pilha (heap exhaustion) ao solicitar um número excessivo de linhas de dados.

Recomendações:

Para as versões 8.0.0 a 8.14.0, considere desativar a classe DataCommunicator ou restringir a quantidade de dados que podem ser solicitados para evitar o esgotamento da pilha até que uma correção esteja disponível.

Correção

RCE

Resource Exhaustion

Enumeração de Fraquezas

CWE-20

CWE-400

Identificadores relacionados

CVE-2021-33609

GHSA-J23J-Q57M-63V3

GHSA-QCGX-CRRX-38V5

Produtos afetados

Vaadin-Server

Referências · 10

• https://github.com/vaadin/framework/pull/12415 · Correção
• https://github.com/vaadin/framework · Nota
• https://github.com/vaadin/framework/security/advisories/GHSA-qcgx-crrx-38v5 · Nota
• https://github.com/vaadin/framework/security/advisories/GHSA-j23j-q57m-63v3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-33609 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-qcgx-crrx-38v5 · Aviso do Fabricante
• https://vaadin.com/security/cve-2021-33609 · Aviso do Fabricante
• https://t.me/cibsecurity/30496 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-j23j-q57m-63v3 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-33609 · Aviso do Fabricante