BDU:2022-06492

Опубликовано: 10 авг. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость компонента Decoder.Skip языка программирования Go связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Fedora Project

The Go Project

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Fedora

Red Hat Advanced Cluster Management for Kubernetes

OpenShift Developer Tools and Services

Версия ПО

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

35 (Fedora)

9 (Red Hat Enterprise Linux)

2.5 (Red Hat Advanced Cluster Management for Kubernetes)

до 1.17.12 (Go)

от 1.18.0 до 1.18.4 (Go)

- (OpenShift Developer Tools and Services)

2.6 (Red Hat Advanced Cluster Management for Kubernetes)

Тип ПО

Операционная система

Сетевое средство

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Fedora Project Fedora 35

Red Hat Inc. Red Hat Enterprise Linux 9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Go:

https://github.com/golang/go/issues/53614

https://github.com/golang/go/commit/08c46ed43d80bbb67cb904944ea3417989be4af3

https://github.com/golang/go/commit/90f040ec510dd678b7860d70ca77e5682f4c7e96

https://github.com/golang/go/commit/58facfbe7db2fbb9afed794b281a70bdb12a60ae

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-28131

Для программных продуктов Red Hat Inc.:

https://bugzilla.redhat.com/show_bug.cgi?id=2107390

https://access.redhat.com/security/cve/CVE-2022-28131

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-28131
CVE

EPSS

Процентиль: 1%

0.00011

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2022-28131

CVSS3: 7.5

ubuntu

почти 3 года назад

Uncontrolled recursion in Decoder.Skip in encoding/xml before Go 1.17.12 and Go 1.18.4 allows an attacker to cause a panic due to stack exhaustion via a deeply nested XML document.

CVE-2022-28131

CVSS3: 7.3

redhat

около 3 лет назад

Uncontrolled recursion in Decoder.Skip in encoding/xml before Go 1.17.12 and Go 1.18.4 allows an attacker to cause a panic due to stack exhaustion via a deeply nested XML document.

CVE-2022-28131

CVSS3: 7.5

nvd

почти 3 года назад

Uncontrolled recursion in Decoder.Skip in encoding/xml before Go 1.17.12 and Go 1.18.4 allows an attacker to cause a panic due to stack exhaustion via a deeply nested XML document.

CVE-2022-28131

CVSS3: 7.5

msrc

почти 3 года назад

Описание отсутствует

CVE-2022-28131

CVSS3: 7.5

debian

почти 3 года назад

Uncontrolled recursion in Decoder.Skip in encoding/xml before Go 1.17. ...

EPSS

Процентиль: 1%

0.00011

Низкий

7.5 High

CVSS3

7.8 High

CVSS2