Vulnerabilidad en los métodos de ayuda "merge" y "clone" en el módulo "src/core/util.ts" en Zrender para Apache ECharts (CVE-2021-39227)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

17/09/2021

Última modificación:

10/09/2022

Descripción

ZRender es una librería gráfica ligera que permite dibujar en 2D para Apache ECharts. En versiones anteriores a 5.2.1, el uso de los métodos de ayuda "merge" y "clone" en el módulo "src/core/util.ts" resulta en una contaminación de prototipo. Esto afecta a la popular biblioteca de visualización de datos Apache ECharts, que usa y exporta estos dos métodos directamente. La página de GitHub Security Advisory para esta vulnerabilidad contiene una prueba de concepto. Este problema está parcheado en la versión 5.2.1 de ZRender. Se presenta una solución disponible: Comprueba si presenta "__proto__" en las claves del objeto. Omitirlo antes de usarlo como parámetro en estos métodos afectados. O en "echarts.util.merge" y "setOption" si el proyecto esta usando ECharts

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: AV:N/AC:L/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico