Vulnerabilidad en SystemDS (CVE-2022-26477)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

27/06/2022

Última modificación:

29/10/2022

Descripción

El equipo de seguridad ha notado que la condición de terminación del bucle for en el método readExternal es una variable controlable que, si es manipulada, puede conllevar a un agotamiento de la CPU. Como corrección, añadimos un límite superior y una condición de terminación en la lógica de lectura y escritura. Lo clasificamos como una "mejora de baja prioridad pero útil". SystemDS es un sistema distribuido y necesita serializar/de serializar datos, pero en muchas rutas de código (por ejemplo, en Spark broadcast/shuffle o escribiendo en archivos de secuencia) el flujo de bytes está de todas formas protegido por huellas digitales CRC adicionales. Sin embargo, en este caso particular, el número de decodificadores está limitado por el doble del número de columnas, lo que significa que un atacante necesitaría modificar dos entradas en el flujo de bytes de manera consistente. Al añadir estas comprobaciones ha sido mejorado estrictamente la robustez con una sobrecarga casi nula. Estos cambios de código están disponibles en las versiones superiores a 2.2.1

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:N/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:N/I:N/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Físico