Un problème potentiel de déni de service dans protobuf-java

Un problème potentiel de déni de service dans protobuf-java de gravité élevée GitHub Révisé Publié il y a 5 jours dans protocolbuffers/protobuf • Mis à jour hier Détails de la vulnérabilité Alertes Dependabot 2 Paquet com.google.protobuf:protobuf-java (maven) Versions concernées < 3.16.1 >= 3.18.0, < 3.18.2 >= 3.19.0, < 3.19.2 Versions corrigées 3.16.1 3.18.2 3.19.2 Paquet com.google.protobuf:protobuf-kotlin (maven) Versions concernées >= 3.18.0, < 3.18.2 >= 3.19.0, < 3.19.2 Versions corrigées 3.18.2 3.19.2 Paquet google-protobuf (RubyGems) Versions concernées < 3.19.2 Versions corrigées 3.19.2 Description Résumé Un problème potentiel de déni de service dans protobuf-java a été découvert dans la procédure d'analyse des données binaires. Rapporteur : OSS-Fuzz Versions concernées : Toutes les versions de Java Protobufs (y compris Kotlin et JRuby) antérieures aux versions listées ci-dessous. Les utilisateurs de Protobuf "javalite" (généralement Android) ne sont pas concernés. Gravité CVE-2021-22569 Élevée - Score CVSS : 7,5, Une faiblesse d'implémentation dans la façon dont les champs inconnus sont analysés en Java. Une charge utile malveillante de petite taille (~800 Ko) peut occuper l'analyseur pendant plusieurs minutes en créant un grand nombre d'objets à courte durée de vie qui provoquent des pauses GC fréquentes et répétées. Preuve de concept Pour les détails de reproduction, veuillez vous référer au problème oss-fuzz qui identifie les entrées spécifiques qui exercent cette faiblesse d'analyse. Correction et atténuation Veuillez mettre à jour vers les dernières versions disponibles des paquets suivants : protobuf-java (3.16.1, 3.18.2, 3.19.2) protobuf-kotlin (3.18.2, 3.19.2) google-protobuf [gem JRuby uniquement] (3.19.2) Références GHSA-wrvw-hg22-4m67 https://nvd.nist.gov/vuln/detail/CVE-2021-22569 https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=39330 https://cloud.google.com/support/bulletins#gcp-2022-001