PT-2021-3616 · Apache+3 · Apache Ant+3

Publicado 2021-07-14 · Atualizado 2024-09-17 · CVE-2021-36373

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Versões do Apache Ant anteriores à 1.9.16

Versões do Apache Ant anteriores à 1.10.11

Descrição

O problema está relacionado a um consumo descontrolado de recursos no utilitário Apache Ant. Ele pode ser explorado por um invasor remoto para causar uma negação de serviço. Ao ler um arquivo TAR especialmente criado, uma compilação do Apache Ant pode alocar grandes quantidades de memória, levando a um erro de memória insuficiente, mesmo para entradas pequenas. Isso pode interromper as compilações que utilizam o Apache Ant.

Recomendações

Para versões do Apache Ant anteriores à 1.9.16, atualize para a versão 1.9.16 ou posterior.

Para versões do Apache Ant anteriores à 1.10.11, atualize para a versão 1.10.11 ou posterior.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

CWE-130

Identificadores relacionados

ALT-PU-2024-17640

AZL-25953

AZL-34808

BDU:2021-03752

CVE-2021-36373

GHSA-Q5R4-CFPX-H6FH

OESA-2021-1277

OPENSUSE-SU-2022_1418-1

OPENSUSE-SU-2024:11688-1

SUSE-SU-2022:1417-1

SUSE-SU-2022:1418-1

SUSE-SU-2022_1417-1

SUSE-SU-2022_1418-1

Produtos afetados

Alt Linux

Apache Ant

Debian

Suse

Referências · 47

• https://security.netapp.com/advisory/ntap-20210819-0007 · Nota
• https://redos.red-soft.ru/updatesec · Nota
• https://lists.apache.org/thread.html/r544c9e8487431768465b8b2d13982c75123109bd816acf839d46010d%40%3Ccommits.groovy.apache.org%3E · Nota
• https://lists.apache.org/thread.html/r27919fd4db07c487239c1d9771f480d89ce5ee2750aa9447309b709a%40%3Ccommits.groovy.apache.org%3E · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-36374 · Nota de Segurança
• https://t.me/cvenotify/20334 · Publicação no Telegram
• https://suse.com/support/update/announcement/2022/suse-su-20221417-1 · Nota
• https://cybersecurity-help.cz/vdb/SB2021071409 · Nota
• https://securitylab.ru/vulnerability/522237.php · Nota
• https://osv.dev/vulnerability/AZL-25953 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-36373 · Aviso do Fabricante
• https://oracle.com/security-alerts/cpuapr2022.html · Correção
• https://lists.apache.org/thread.html/r54afdab05e01de970649c2d91a993f68a6b00cd73e6e34e16c832d46%40%3Cuser.ant.apache.org%3E · Aviso do Fabricante
• https://oracle.com/security-alerts/cpujan2022.html · Correção
• https://osv.dev/vulnerability/SUSE-SU-2022:1417-1 · Aviso do Fabricante