PT-2022-15008 · Typelevel+1 · Jawn-Parser+2

Kag0

·

Publicado

2022-01-05

·

Atualizado

2022-02-20

·

CVE-2022-21653

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Nome do software vulnerável e versões afetadas
Versões do jawn-parser anteriores à 1.3.1
org.typelevel :: jawn-ast versões anteriores à 0.8.0
Descrição
O Jawn é um analisador JSON de código aberto. Extensões de org.typelevel.jawn.SimpleFacade e org.typelevel.jawn.MutableFacade que não sobrescrevem objectContext() estão vulneráveis a um ataque de colisão de hash, o que pode resultar em uma negação de serviço. A maioria dos aplicativos não implementa essas características diretamente, mas as herda de uma biblioteca.
Recomendações
Para versões anteriores à 1.3.1, atualize para jawn-parser-1.3.1 ou posterior.
Para usuários que não possam atualizar, substitua objectContext() para usar uma coleção à prova de colisão.
Como solução temporária, considere sobrescrever objectContext() em org.typelevel.jawn.SimpleFacade e org.typelevel.jawn.MutableFacade para minimizar o risco de exploração.

Exploit

Correção

DoS

Resource Exhaustion

Inadequate Encryption Strength

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2022-21653
GHSA-VC89-HCCF-RQ55
OPENSUSE-SU-2022:0011-1
OPENSUSE-SU-2022:0045-1
OPENSUSE-SU-2022:0106-1
OPENSUSE-SU-2022_0106-1
OPENSUSE-SU-2024:11718-1

Produtos afetados

Suse
Jawn-Ast
Jawn-Parser