CVE-2022-26477
Təsvir
Təhlükəsizlik komandası müəyyən etdi ki, readExternal metodundakı for dövrünün sonlanma şərti idarə oluna bilən dəyişəndir və bu dəyişənin manipulyasiya edilməsi CPU resurslarının tükənməsinə səbəb ola bilər. Həll yolu kimi, oxuma və yazma məntiqinə yuxarı hədd və sonlanma şərti əlavə edildi. Biz bunu "aşağı prioritetli lakin faydalı təkmilləşdirmə" kimi təsnif edirik. SystemDS paylanmış sistemdir və məlumatları seriyallaşdırmaq/deseriyallaşdırmaq lazımdır, lakin bir çox kod yollarında (məsələn, Spark broadcast/shuffle zamanı və ya ardıcıllıq fayllarına yazılanda) bayt axını onsuz da əlavə CRC imzaları ilə qorunur. Lakin konkret bu halda dekoderlərin sayı sütunların sayının iki qatı ilə məhdudlaşdırılıb, bu isə o deməkdir ki, hücumçu bayt axınındakı iki girişi ardıcıl şəkildə dəyişməlidir. Bu yoxlamaların əlavə edilməsi ilə, demək olar ki, heç bir əlavə yük yaratmadan davamlılıq ciddi şəkildə artırıldı. Bu kod dəyişiklikləri 2.2.1 versiyasından yüksək olan versiyalarda mövcuddur.
Necə düzəltmək olar
- org.apache.systemds:systemds2.2.2 və ya daha yeni versiya
- systemds2.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache systemds | v ≤ 2.2.1 | — |
| org.apache.systemds:systemdsMaven | v < 2.2.2 | 2.2.2 |
| systemdsPyPI | v < 2.2.2 | 2.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.