PT-2025-17447 · Amazon · Amazon.Iondotnet

Josh Coleman · Publicado 2025-04-21 · Atualizado 2025-04-26 · CVE-2025-3857

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Versões do Amazon.IonDotnet anteriores à 1.3.1

Descrição O problema ocorre ao ler dados binários Ion através do Amazon.IonDotnet usando a classe RawBinaryReader. O Amazon.IonDotnet não verifica a quantidade de bytes lidos do fluxo subjacente durante a desserialização do formato binário. Se os dados Ion estiverem malformados ou truncados, isso aciona uma condição de loop infinito que poderia potencialmente resultar em uma negação de serviço.

Recomendações Atualize para a versão 1.3.1 do Amazon.IonDotnet e garanta que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

Correção

DoS

Infinite Loop

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-835

CWE-502

Identificadores relacionados

CVE-2025-3857

GHSA-GM2P-WF5C-W3PJ

Produtos afetados

Amazon.Iondotnet

Referências · 21

• https://github.com/amazon-ion/ion-dotnet · Nota
• https://github.com/amazon-ion/ion-dotnet/security/advisories/GHSA-gm2p-wf5c-w3pj · Nota
• https://github.com/amazon-ion/ion-dotnet/releases/tag/v1.3.1 · Correção
• https://github.com/amazon-ion/ion-dotnet/commit/34a4f5215eceac1bb7bf434c4f2310d64d1b703b · Nota
• https://twitter.com/CveFindCom/status/1914583462939414926 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-gm2p-wf5c-w3pj · Aviso do Fabricante
• https://twitter.com/vulert_official/status/1914650365976265127 · Publicação no Twitter
• https://twitter.com/cracbot/status/1915722506767372435 · Publicação no Twitter
• https://aws.amazon.com/security/security-bulletins/AWS-2025-009 · Aviso do Fabricante
• https://twitter.com/cybercronai/status/1914793980379734314 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1914341974808711526 · Publicação no Twitter
• https://twitter.com/cyberbessa/status/1914711306348744971 · Publicação no Twitter
• https://twitter.com/cybercronai/status/1914663101846237368 · Publicação no Twitter
• https://t.me/cvetracker/22061 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-3857 · Nota de Segurança