PT-2022-15055 · Unknown+1 · Graphql-Go+1

Jupenur · Publicado 2022-01-21 · Atualizado 2023-07-24 · CVE-2022-21708

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do graphql-go anteriores à 1.3.0

Descrição

O problema é uma vulnerabilidade DoS causada por um bug na biblioteca que permite que um invasor, por meio de consultas especificamente projetadas, provoque erros de estouro de pilha. Qualquer usuário com acesso ao manipulador GraphQL pode enviar essas consultas e causar estouros de pilha, comprometendo potencialmente a capacidade do servidor de fornecer dados. Esse problema ocorre apenas ao usar a opção graphql.MaxDepth no esquema.

Recomendações

Para versões anteriores à 1.3.0, a melhor solução alternativa é atualizar para uma versão maior ou igual a v1.3.0.

Caso contrário, a única solução alternativa nas versões anteriores à v1.3.0 é desativar a opção graphql.MaxDepth do seu esquema, embora isso possa potencialmente criar oportunidades para outros ataques.

Exploit

Correção

DoS

Uncontrolled Recursion

Resource Exhaustion

Enumeração de Fraquezas

CWE-674

CWE-400

Identificadores relacionados

CVE-2022-21708

GHSA-MH3M-8C74-74XH

GO-2022-0300

Produtos afetados

Debian

Graphql-Go

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21708.json · Exploit
• https://github.com/graph-gophers/graphql-go/commit/eae31ca73eb3473c544710955d1dbebc22605bfe · Correção
• https://github.com/graph-gophers/graphql-go/security/advisories/GHSA-mh3m-8c74-74xh · Nota
• https://github.com/graph-gophers/graphql-go/pull/492 · Nota
• https://github.com/graph-gophers/graphql-go · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-21708 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-21708 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-21708 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-21708 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-21708 · Aviso do Fabricante
• https://t.me/cvenotify/55027 · Publicação no Telegram
• https://t.me/cibsecurity/36088 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2022-21708 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mh3m-8c74-74xh · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2022-0300 · Nota