PT-2021-22384 · Octorpki · Octorpki

Haynespls · Publicado 2021-11-10 · Atualizado 2022-08-09 · CVE-2021-3912

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:N/A:P

Nome do software vulnerável e versões afetadas

OctoRPKI (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que um invasor crie um repositório capaz de esgotar a memória do OctoRPKI e causar sua falha. Isso é possível porque o OctoRPKI tenta carregar todo o conteúdo de um repositório na memória e, no caso de uma “GZIP bomb”, o descompacta na memória. A função HTTPFetcher.GetXML lê uma resposta de tamanho ilimitado na memória, permitindo o esgotamento de recursos.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

CVE-2021-3912

DSA-5041-1

GHSA-G9WH-3VRX-R7HG

GO-2022-0253

Produtos afetados

Octorpki

Referências · 19

• https://github.com/cloudflare/cfrpki/security/advisories/GHSA-g9wh-3vrx-r7hg · Nota
• https://github.com/cloudflare/cfrpki/commit/648658b1b176a747b52645989cfddc73a81eacad · Nota
• https://github.com/cloudflare/cfrpki/commit/32961e7a41cae67660dfee92095a1f6c2f86f943 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-3912 · Nota de Segurança
• https://pkg.go.dev/vuln/GO-2022-0253 · Nota
• https://debian.org/security/2022/dsa-5041 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-3912 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-3912 · Aviso do Fabricante
• https://t.me/cvenotify/25279 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2022-0253 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-3912 · Nota de Segurança
• https://t.me/cvenotify/34434 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-g9wh-3vrx-r7hg · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-3912 · Aviso do Fabricante
• https://t.me/cvenotify/23274 · Publicação no Telegram