protobuf-javaにおける潜在的なサービス拒否（DoS）問題 深刻度: 高 GitHub レビュー済み 5日前に protocolbuffers/protobuf で公開 • 昨日更新 脆弱性の詳細 Dependabotアラート 2 パッケージ com.google.protobuf:protobuf-java (maven) 影響を受けるバージョン < 3.16.1 >= 3.18.0, < 3.18.2 >= 3.19.0, < 3.19.2 パッチ適用済みバージョン 3.16.1 3.18.2 3.19.2 パッケージ com.google.protobuf:protobuf-kotlin (maven) 影響を受けるバージョン >= 3.18.0, < 3.18.2 >= 3.19.0, < 3.19.2 パッチ適用済みバージョン 3.18.2 3.19.2 パッケージ google-protobuf (RubyGems) 影響を受けるバージョン < 3.19.2 パッチ適用済みバージョン 3.19.2 説明 概要 protobuf-javaにおける潜在的なサービス拒否（DoS）問題が、バイナリデータの解析手順で発見されました。 報告者: OSS-Fuzz 影響を受けるバージョン: 以下に記載されているバージョンより前の、Java Protobufs（KotlinおよびJRubyを含む）の全バージョン。Protobufの「javalite」ユーザー（通常はAndroid）は影響を受けません。 深刻度 CVE-2021-22569 高 - CVSSスコア: 7.5、Javaで未知のフィールドが解析される際の実装上の弱点。小さな（約800 KB）悪意のあるペイロードにより、多数の短命オブジェクトが生成されて頻繁かつ反復的なGC（ガベージコレクション）の一時停止が発生し、パーサーを数分間占有させる可能性があります。 概念実証 再現の詳細については、この解析の弱点を引き起こす特定の入力を特定しているoss-fuzzの問題を参照してください。 修復と緩和策 以下のパッケージの最新の利用可能なバージョンに更新してください: protobuf-java (3.16.1, 3.18.2, 3.19.2) protobuf-kotlin (3.18.2, 3.19.2) google-protobuf [JRuby gemのみ] (3.19.2) 参照 GHSA-wrvw-hg22-4m67 https://nvd.nist.gov/vuln/detail/CVE-2021-22569 https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=39330 https://cloud.google.com/support/bulletins#gcp-2022-001
