CVE-2022-31116
Təsvir
UltraJSON, Python 3.7+ üçün bağlamaları olan, təmiz C dilində yazılmış sürətli JSON kodlaşdırıcı və dekodlaşdırıcıdır. Təsirə məruz qalan versiyalarda müəyyən simvolların yanlış dekodlaşdırıldığı aşkar edilmişdir. Düzgün surroqat cütünün hissəsi olmayan, qaçırılmış (escaped) surroqat simvolları ehtiva edən JSON sətirləri yanlış şəkildə dekodlaşdırılırdı. Bu, sətirlərin korlanmasından əlavə, lüğətlərdə potensial açar qarışıqlığına və dəyərlərin üzərinə yazılmasına şərait yaradırdı. Etibarsız mənbələrdən JSON analiz edən bütün istifadəçilər risk altındadır. Versiya 5.4.0-dan etibarən UltraJSON tək surroqatları standart kitabxananın `json` modulu ilə eyni şəkildə dekodlaşdırır və onları analiz edilmiş çıxışda saxlayır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu problem üçün məlum alternativ həll yolları yoxdur.
Necə düzəltmək olar
- ultrajson_project ultrajson5.4.0 və ya daha yeni versiya
- ujson5.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ultrajson_project ultrajson | v < 5.4.0 | 5.4.0 |
| fedoraproject fedora | 35, 36 | — |
| ujsonPyPI | v < 5.4.0 | 5.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.