Потенциальная проблема отказа в обслуживании в protobuf-java

Потенциальная проблема отказа в обслуживании в protobuf-java высокой степени серьезности GitHub Reviewed Опубликовано 5 дней назад в protocolbuffers/protobuf • Обновлено вчера Сведения об уязвимости Оповещения Dependabot 2 Пакет com.google.protobuf:protobuf-java (maven) Затронутые версии < 3.16.1 >= 3.18.0, < 3.18.2 >= 3.19.0, < 3.19.2 Исправленные версии 3.16.1 3.18.2 3.19.2 Пакет com.google.protobuf:protobuf-kotlin (maven) Затронутые версии >= 3.18.0, < 3.18.2 >= 3.19.0, < 3.19.2 Исправленные версии 3.18.2 3.19.2 Пакет google-protobuf (RubyGems) Затронутые версии < 3.19.2 Исправленные версии 3.19.2 Описание Краткое описание Потенциальная проблема отказа в обслуживании в protobuf-java была обнаружена в процедуре разбора двоичных данных. Сообщил: OSS-Fuzz Затронутые версии: Все версии Java Protobufs (включая Kotlin и JRuby) до версий, перечисленных ниже. Пользователи Protobuf "javalite" (обычно Android) не затронуты. Серьезность CVE-2021-22569 Высокая - Оценка CVSS: 7.5, Слабость реализации в том, как неизвестные поля разбираются в Java. Небольшая (~800 КБ) вредоносная полезная нагрузка может занять анализатор на несколько минут, создавая большое количество недолговечных объектов, которые вызывают частые, повторяющиеся паузы GC. Доказательство концепции Для деталей воспроизведения, пожалуйста, обратитесь к проблеме oss-fuzz, которая определяет конкретные входные данные, вызывающие эту слабость разбора. Исправление и смягчение последствий Пожалуйста, обновитесь до последних доступных версий следующих пакетов: protobuf-java (3.16.1, 3.18.2, 3.19.2) protobuf-kotlin (3.18.2, 3.19.2) google-protobuf [только JRuby gem] (3.19.2) Ссылки GHSA-wrvw-hg22-4m67 https://nvd.nist.gov/vuln/detail/CVE-2021-22569 https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=39330 https://cloud.google.com/support/bulletins#gcp-2022-001