PT-2022-15008 · Typelevel+1 · Jawn-Parser+2
Kag0
·
Publicado
2022-01-05
·
Atualizado
2022-02-20
·
CVE-2022-21653
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do jawn-parser anteriores à 1.3.1
org.typelevel :: jawn-ast versões anteriores à 0.8.0
Descrição
O Jawn é um analisador JSON de código aberto. Extensões de
org.typelevel.jawn.SimpleFacade e org.typelevel.jawn.MutableFacade que não sobrescrevem objectContext() estão vulneráveis a um ataque de colisão de hash, o que pode resultar em uma negação de serviço. A maioria dos aplicativos não implementa essas características diretamente, mas as herda de uma biblioteca.Recomendações
Para versões anteriores à 1.3.1, atualize para
jawn-parser-1.3.1 ou posterior.Para usuários que não possam atualizar, substitua
objectContext() para usar uma coleção à prova de colisão.Como solução temporária, considere sobrescrever
objectContext() em org.typelevel.jawn.SimpleFacade e org.typelevel.jawn.MutableFacade para minimizar o risco de exploração.Exploit
Correção
DoS
Resource Exhaustion
Inadequate Encryption Strength
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Suse
Jawn-Ast
Jawn-Parser