CVE-2022-23487
Təsvir
js-libp2p, libp2p şəbəkə stekinin rəsmi JavaScript tətbiqidir. js-libp2p-nin `v0.38.0` versiyasından köhnə olan versiyaları hədəflənmiş resursların tükənməsi hücumlarına qarşı həssasdır. Bu hücumlar libp2p-nin bağlantı, axın (stream), peer və yaddaş idarəetməsini hədəf alır. Hücumçu böyük miqdarda yaddaş ayrılmasına səbəb ola bilər ki, bu da sonda prosesin host əməliyyat sistemi tərəfindən dayandırılmasına gətirib çıxarır. Bağlantı sayını idarə oluna bilən limitlərdə saxlamaqla öhdəlikləndirilmiş bağlantı meneceri js-libp2p-nin tərkibinə daxil olsa da, bu komponent peer-lərin müntəzəm dəyişməsini idarə etmək üçün nəzərdə tutulmuşdu, hədəflənmiş resursların tükənməsi hücumlarını deyil. İstifadəçilərə js-libp2p asılılığını `v0.38.0` və ya daha yeni versiyaya yeniləmələri tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- protocol libp2p0.38.0 və ya daha yeni versiya
- libp2p0.38.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| protocol libp2p | v < 0.38.0 | 0.38.0 |
| libp2pnpm | v < 0.38.0 | 0.38.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.