PT-2021-3184 · Gjson · Gjson

Toptotu · Publicado 2021-01-05 · Atualizado 2022-08-25 · CVE-2020-36066

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do GJSON anteriores à 1.6.5

Descrição

O problema está relacionado a um consumo descontrolado de recursos na biblioteca GJSON, o que pode ser explorado por um invasor remoto por meio de uma solicitação JSON especialmente criada para causar uma negação de serviço. Uma entrada JSON criada com intenção maliciosa pode levar a um ataque de negação de serviço.

Recomendações

Para versões anteriores à 1.6.5, atualize para a versão 1.6.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da biblioteca GJSON até que um patch esteja disponível. Evite usar a biblioteca GJSON com entradas JSON não confiáveis até que o problema seja resolvido.

Exploit

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

BDU:2021-02869

CVE-2020-36066

GHSA-WJM3-FQ3R-5X46

GO-2022-0957

Produtos afetados

Gjson

Referências · 18

• 🔥 https://github.com/tidwall/gjson/issues/195 · Exploit
• https://github.com/tidwall/gjson/issues/195#issuecomment-755303148 · Nota
• https://github.com/tidwall/gjson/commit/9f58baa7a613f89dfdc764c39e47fd3a15606153 · Nota
• https://github.com/tidwall/gjson · Nota
• https://github.com/tidwall/match/commit/c2f534168b739a7ec1821a33839fb2f029f26bbc · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-36066 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-36066 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-02869 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-36066 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-36066 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-36066 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-wjm3-fq3r-5x46 · Aviso do Fabricante
• https://snyk.io/vuln/SNYK-GOLANG-GITHUBCOMTIDWALLGJSON-1055821 · Nota
• https://osv.dev/vulnerability/GO-2022-0957 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2022-0957 · Nota