PT-2025-26251 · Powsybl · Powsybl
Adamkorcz
+1
·
Publicado
2025-06-19
·
Atualizado
2025-06-21
·
CVE-2025-47771
CVSS v2.0
10
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do PowSyBl de 6.3.0 a 6.7.1
Descrição
O problema consiste em uma falha de desserialização no método
read da classe SparseMatrix, o que pode levar a diversas elevações de privilégio dependendo das circunstâncias. Este método recebe um InputStream e retorna um objeto SparseMatrix. Os usuários estão vulneráveis caso importem objetos SparseMatrix serializados não controlados. Isso pode ser particularmente problemático em aplicações multi-tenant onde usuários com diferentes níveis de privilégio podem submeter um InputStream para ser processado em um SparseMatrix, ou ao utilizar o método em uma ferramenta local com InputStream proveniente de fontes externas.Recomendações
Para as versões de 6.3.0 a 6.7.1, considere atualizar para com.powsybl:powsybl-math:6.7.2 ou superior para resolver o problema. Como medida temporária de contorno, não utilize a desserialização de
SparseMatrix (métodos SparseMatrix.read(...)) até que uma correção seja aplicada.Exploit
Correção
LPE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Powsybl