CVE-2021-29486

cumulative-distribution-function, x dəyərlərindən ibarət məlumat massivindən statistik kumulyativ paylanma funksiyasını hesablayan açıq mənbəli npm kitabxanasıdır. 2.0.0 versiyasından əvvəlki versiyalarda bu kitabxanadan istifadə edən tətbiqlər yanlış məlumatlarla işlədikdə çökə və ya sonsuz döngəyə (infinite-loop) girə bilər. Bu kitabxananı etibarsız qeyri-rəqəmsal məlumatlar üzərində tətbiq edən nodejs server-tətbiqi halında, nodejs serveri çökə bilər. Bu, serverin digər istifadəçilərinə təsir göstərə bilər və/və ya düzgün fəaliyyət üçün serverin yenidən başladılmasını tələb edə bilər. Bu kitabxananı etibarsız qeyri-rəqəmsal məlumatlar üzərində tətbiq edən brauzer tətbiqi halında, həmin brauzer çökə və ya donub qala bilər. Giriş məlumatlarının cumulative-distribution-function qiymətləndirilməsi kodu ilə bağlı sonsuz döngəyə imkan verən bir çatışmazlıq aşkar edilmişdir. Sənədlərdə rəqəmsal məlumatların tələb olunduğu izah edilsə də, bəzi istifadəçilər ["1","2","3","4","5"] kimi sətirlər massivini faktiki olaraq sətir məlumatı olduğu halda [1,2,3,4,5] rəqəmsal məlumatları ilə qarışdıra bilərlər. Giriş məlumatları `number` tipi əvəzinə sətir məlumatı olduqda, müəyyən bir nöqtə üçün cumulative-distribution-function qiymətləndirilərkən sonsuz döngə baş verməsi mümkündür. Bu zəiflik, hücumçu kitabxanaya deformasiya olunmuş məlumatlar ötürə bildiyi təqdirdə, npm:cumulative-distribution-function v1.0.3 və ya daha erkən versiyalarını istifadə edən hər hansı tətbiq üzərində sonsuz CPU döngəsi vasitəsilə xidmətdən imtina (DoS) hücumuna imkan verir. Zəiflik həmçinin analiz ediləcək məlumat mənbəyi məlumat tipini Rəqəmlər Massivi (düzgün) formasından Sətirlər Massivi (yanlış, lakin kitabxananın əvvəlki versiyaları tərəfindən aşkar edilmir) formasına dəyişdikdə də özünü göstərə bilər. İstifadəçilər ən azı v2.0.0 və ya ən son versiyaya yüksəltmə etməlidirlər. Bir neçə növ etibarsız məlumat üçün testlər yaradılmışdır və 2.0.0 versiyasının bu etibarsız məlumatları emal etmək əvəzinə `TypeError()` xətası verməklə rədd etdiyi sınaqdan keçirilmişdir. Bu kitabxananı istifadə edən tərtibatçılar, bu TypeError xətasını daha yaxşı dözümlü etmək və ya idarə etmək üçün tətbiqin kodunda kiçik düzəlişlər etmək istəyə bilərlər. Məlumatları bu kitabxanaya göndərməzdən əvvəl düzgün rəqəmsal məlumat validasiyası aparan tətbiqlər bu yamaqdan çox güman ki, təsirlənməyəcəklər. Köhnə versiyalarda zəifliyin qarşısını almaq üçün yalnız `Array[number]` və ya `number` tipli sonlu rəqəmsal məlumatların müvafiq olaraq `cumulative-distribution-function` və onun `f(x)` funksiyasına ötürüldüyündən əmin olmaq lazımdır.