PT-2021-24264 · Crates.Io · Messagepack-Rs
Publicado
2021-01-26
·
Atualizado
2022-06-17
·
CVE-2021-45690
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
crate messagepack-rs até 26/01/2021
Descrição:
Uma falha no crate messagepack-rs permite que ele leia de locais de memória não inicializados durante a desserialização. Isso afeta funções como
deserialize binary, deserialize string, deserialize extension others e deserialize string primitive. Quando um buffer não inicializado é passado para uma instância Read fornecida pelo usuário, isso pode levar a implementações seguras de Read lendo a partir do buffer não inicializado, resultando em comportamento indefinido.Recomendações:
Para o crate messagepack-rs até 26/01/2021, considere atualizar para uma versão lançada após 26/01/2021 para resolver o problema.
Como solução temporária, considere restringir o uso das funções de desserialização afetadas até que um patch esteja disponível.
Evite usar as funções afetadas
deserialize binary, deserialize string, deserialize extension others e deserialize string primitive nas versões afetadas do crate messagepack-rs até que o problema seja resolvido.Correção
Use of Uninitialized Resource
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Messagepack-Rs