PT-2024-33272 · Unknown · Messagepack-Csharp
Aarnott
·
Publicado
2024-10-17
·
Atualizado
2024-10-18
·
CVE-2024-48924
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do MessagePack-CSharp anteriores à 2.5.187 e à 3.0.214
Descrição
A vulnerabilidade ocorre quando a biblioteca é usada para desserializar dados do MessagePack provenientes de uma fonte não confiável, levando ao risco de um ataque de negação de serviço por um invasor que envie dados manipulados para produzir colisões de hash. Isso resulta em um grande consumo de CPU desproporcional ao tamanho dos dados que estão sendo desserializados. O problema é semelhante a um aviso anterior, que forneceu uma correção inadequada para a parte da vulnerabilidade relacionada à colisão de hash.
Recomendações
Para mitigar esse risco, atualize para uma versão da biblioteca na qual uma correção esteja disponível.
Se estiver atualizando da v1, consulte o guia de migração.
Revise as etapas do aviso anterior para garantir que o aplicativo esteja configurado para dados não confiáveis.
Se a atualização do MessagePack para uma versão corrigida não for uma opção, aplique uma solução alternativa manual declarando uma classe derivada de
MessagePackSecurity, sobrescrevendo o método GetHashCollisionResistantEqualityComparer para fornecer uma função hash resistente a colisões e configurando MessagePackSerializerOptions com uma instância do tipo derivado.Use o objeto de opções personalizadas para todas as operações de desserialização.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Messagepack-Csharp