PT-2021-24335 · Ultrajson+5 · Ultrajson+5
Bwoodsend
·
Publicado
2021-12-31
·
Atualizado
2025-05-17
·
CVE-2021-45958
CVSS v4.0
6.8
Média
| Vetor | AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
**Nome do software vulnerável e versões afetadas:
UltraJSON (também conhecido como ujson), versões 1.34 a 5.1.0
Descrição:
O problema é um estouro de buffer baseado em pilha na função
Buffer AppendIndentUnchecked, que é chamada a partir de encode. Isso pode ser explorado, por exemplo, usando uma grande quantidade de indentação. Há uma controvérsia quanto à confirmação dessa descoberta, com alguns terceiros argumentando que o problema não é uma vulnerabilidade confirmada devido a uma alteração no projeto AFLplusplus.Recomendações:
Para as versões 1.34 a 5.1.0, considere desativar a função
Buffer AppendIndentUnchecked ou restringir seu uso até que um patch esteja disponível. Como solução temporária, evite usar indentação excessiva na função encode para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Memory Corruption
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Linuxmint
Suse
Ubuntu
Ultrajson