PT-2022-7161 · Atlassian+1 · Bamboo Server+2
Publicado
2022-09-16
·
Atualizado
2024-11-15
·
CVE-2022-40152
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Woodstox, versões 9.1.0 a 9.3.0
Bamboo Data Center e Server, versões 9.1.0 a 9.2.1
Bamboo Data Center e Server, versão 9.3.0
Descrição
O problema está relacionado a um ataque de Negação de Serviço (DOS) que pode ocorrer ao analisar dados XML com o suporte a DTD habilitado. Se o analisador estiver em execução com dados fornecidos pelo usuário, um invasor pode enviar conteúdo que cause a falha do analisador por estouro de pilha, potencialmente possibilitando um ataque de negação de serviço.
Recomendações
Para as versões 9.1.0 a 9.3.0 do Woodstox, atualize para uma versão em que o suporte a DTD esteja desativado ou devidamente protegido.
Para o Bamboo Data Center e Server versão 9.2, atualize para uma versão igual ou superior a 9.2.5.
Para o Bamboo Data Center e Server versão 9.3, atualize para uma versão igual ou superior à 9.3.3.
Para o Bamboo Data Center e Server versão 9.4, atualize para uma versão igual ou superior à 9.4.0.
Como solução alternativa temporária, considere desativar a funcionalidade de análise DTD até que um patch esteja disponível.
Exploit
Correção
DoS
Stack Overflow
Memory Corruption
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Bamboo
Bamboo Server
Debian