PT-2022-9414 · Faker.Js+1 · Faker.Js+1

Unknown · Publicado 2022-01-14 · Atualizado 2024-06-14 · CVE-2021-23567

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do colors posteriores à 1.4.0

Faker.js (versões afetadas não especificadas)

Descrição

O problema está relacionado a uma negação de serviço (DoS) introduzida por meio de um loop infinito no módulo americanFlag do pacote colors. Isso parece ser uma tentativa proposital de um mantenedor de tornar o pacote inutilizável. O mantenedor do Faker.js também removeu deliberadamente código funcional, tornando-o inutilizável também.

Recomendações

Para versões do colors posteriores à 1.4.0, fixe a dependência na versão 1.4.0 como uma solução temporária.

Para o Faker.js, considere usar o código funcional bifurcado disponível em https://github.com/faker-js/faker como alternativa.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema no Faker.js.

Exploit

Correção

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

CVE-2021-23567

GHSA-5W9C-RV96-FR7G

GHSA-GH88-3PXP-6FM8

SNYK-JS-COLORS-2331906

Produtos afetados

Faker.Js

Coloros

Referências · 16

• 🔥 https://github.com/Marak/colors.js/issues/285%23issuecomment-1008212640 · Exploit
• 🔥 https://github.com/Marak/colors.js/issues/285 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JS-COLORS-2331906 · Exploit
• 🔥 https://snyk.io/blog/open-source-maintainer-pulls-the-plug-on-npm-packages-colors-and-faker-now-what · Exploit
• https://github.com/Marak/colors.js/commit/074a0f8ed0c31c35d13d28632bd8a049ff136fb6%23diff-92bbac9a308cd5fcf9db165841f2d90ce981baddcb2b1e26cfff170929af3bd1R18 · Correção
• https://github.com/Marak/colors.js/commit/074a0f8ed0c31c35d13d28632bd8a049ff136fb6#diff-92bbac9a308cd5fcf9db165841f2d90ce981baddcb2b1e26cfff170929af3bd1R18 · Nota
• https://github.com/Marak/colors.js · Nota
• https://npmjs.com/package/@faker-js/faker · Nota
• https://twitter.com/athoshun/status/1801581327285661968 · Publicação no Twitter
• https://github.com/advisories/GHSA-gh88-3pxp-6fm8 · Nota
• https://npmjs.com/package/faker · Nota
• https://osv.dev/vulnerability/CVE-2021-23567 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5w9c-rv96-fr7g · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-23567 · Nota de Segurança
• ❌ https://github.com/Marak/Faker.js · Nota, Deleted