PT-2022-5135 · Juniper Networks · Juniper

Mdottim · Publicado 2022-05-18 · Atualizado 2023-07-24 · CVE-2022-31173

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Juniper anteriores à 0.15.10

Descrição

O problema está relacionado a uma recursão descontrolada na biblioteca do servidor GraphQL da Juniper para Rust, o que pode resultar na falha do programa. Isso pode ser causado por fragmentos profundamente aninhados em uma solicitação GraphQL, levando potencialmente a um estouro de pilha no servidor. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.

Recomendações

Para versões anteriores à 0.15.10, atualize para a versão 0.15.10 para resolver o problema.

Para usuários que não possam atualizar, limite a profundidade da recursão manualmente como uma solução alternativa temporária.

Exploit

Correção

Uncontrolled Recursion

Resource Exhaustion

Enumeração de Fraquezas

CWE-674

CWE-400

Identificadores relacionados

BDU:2022-06392

CVE-2022-31173

GHSA-4RX6-G5VG-5F3J

RUSTSEC-2022-0038

Produtos afetados

Juniper

Referências · 14

• 🔥 https://github.com/graphql-rust/juniper/security/advisories/GHSA-4rx6-g5vg-5f3j · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31173.json · Exploit
• https://github.com/graphql-rust/juniper · Nota
• https://github.com/graphql-rust/juniper/commit/8d28cdba6eb10f53490ba41d1b5cb40506c2de22 · Correção
• https://github.com/graphql-rust/juniper/commit/2b609ee057be950e3454b69fadc431d120e407bb · Correção
• https://github.com/graphql-rust/juniper/blob/juniper-v0.15.10/juniper/CHANGELOG.md#01510-2022-07-28 · Nota
• https://osv.dev/vulnerability/RUSTSEC-2022-0038 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2022-0038.html · Nota
• https://osv.dev/vulnerability/CVE-2022-31173 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31173 · Nota de Segurança
• https://crates.io/crates/juniper · Nota
• https://t.me/cibsecurity/47366 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4rx6-g5vg-5f3j · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-06392 · Nota de Segurança