BDU:2024-03157

Уязвимость реализации MessagePack NodeJS/JavaScript msgpackr, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-04-22

Описание

Уязвимость реализации MessagePack NodeJS/JavaScript msgpackr связана с возможностью пользователям запускать зависшие потоки, создавая сообщения, которые зацикливали декодер. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

РЕД ОС (7.3)msgpackr (до 1.10.1)

Способ устранения

Для msgpackr:
https://github.com/kriszyp/msgpackr/commit/18f44f8800e2261341cdf489d1ba1e35a0133602 Patch
https://github.com/kriszyp/msgpackr/security/advisories/GHSA-7hpj-7hhx-2fgx

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	6.8 — средняя опасность

Источники и патчи

https://github.com/kriszyp/msgpackr/commit/18f44f8800e2261341cdf489d1ba1e35a0133602 Patch https://github.com/kriszyp/msgpackr/security/advisories/GHSA-7hpj-7hhx-2fgx https://redos.red-soft.ru/support/secure/

Проверьте безопасность своего сайта и почты → Полная проверка домена