Vulnerabilidad en go-ipld-prime (CVE-2023-22460)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

04/01/2023

Última modificación:

10/01/2023

Descripción

go-ipld-prime es una implementación de las interfaces de especificaciones de datos vinculados interplanetarios (IPLD), que incluye implementaciones de códec de IPLD para CBOR y JSON y herramientas para operaciones básicas en objetos IPLD. La codificación de datos que contiene un nodo de tipo Bytes pasará un token de Bytes al codificador JSON, lo que entrará en pánico porque no espera recibir tokens de Bytes. Dicha codificación debe tratarse como un error, ya que JSON simple no debería poder codificar bytes. Esto solo afecta los usos del códec "json". `dag-json` no se ve afectado. El uso de `json` como decodificador no se ve afectado. Este problema se solucionó en v0.19.0. Como workaround, se puede preferir el códec `dag-json`, que tiene la capacidad de codificar bytes.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto