PT-2022-17577 · Unknown · Io.Socket:Socket.Io-Client

Andrei Nikonov · Publicado 2022-08-02 · Atualizado 2022-08-10 · CVE-2022-25867

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

io.socket:socket.io-client versões anteriores à 2.0.1

Descrição

O problema está relacionado a uma referência a ponteiro nulo (NULL Pointer Dereference) que ocorre ao analisar um pacote com um formato de carga útil inválido. Isso pode acontecer no pacote io.socket:socket.io-client.

Recomendações

Para versões anteriores à 2.0.1, atualize para a versão 2.0.1 ou posterior para resolver o problema. Como solução temporária, considere implementar a validação de entrada para garantir que apenas pacotes com formatos de carga válidos sejam processados. Restrinja o acesso à funcionalidade de análise de pacotes para minimizar o risco de exploração.

Exploit

Correção

NULL Pointer Dereference

Enumeração de Fraquezas

CWE-476

Identificadores relacionados

CVE-2022-25867

GHSA-85XX-XHJM-RHRW

Produtos afetados

Io.Socket:Socket.Io-Client

Referências · 11

• 🔥 https://security.snyk.io/vuln/SNYK-JAVA-IOSOCKET-2949738 · Exploit
• https://github.com/socketio/socket.io-client-java/commit/8664499b6f31154f49783531f778dac5387b766b · Correção
• https://github.com/socketio/socket.io-client-java/issues/508%23issuecomment-1179817361 · Nota
• https://github.com/socketio/socket.io-client-java/releases/tag/socket.io-client-2.0.1 · Nota
• https://github.com/socketio/socket.io-client-java/commit/e8ffe9d1383736f6a21090ab959a2f4fa5a41284 · Correção
• https://github.com/socketio/socket.io-client-java · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-25867 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-25867 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-85xx-xhjm-rhrw · Aviso do Fabricante
• https://t.me/cibsecurity/47406 · Publicação no Telegram
• https://t.me/cvenotify/34137 · Publicação no Telegram