CVE-2021-29508
Açıklama
Wire'ın serileştirme formatında tip bilgilerini işleme biçimi nedeniyle, kötü niyetli yükler bir deserializer'a iletilebilir. Örneğin, gönderici tarafında bir surrogate kullanan saldırgan, alıcı taraf için farklı bir tipe ait bilgi geçirebilir ve böylece serileştiricinin deserializing tarafında herhangi bir tipi oluşturmasına izin verebilir. Bu durum, .NET BinaryFormatter için mevcut olan sorunla aynıdır https://docs.microsoft.com/en-us/visualstudio/code-quality/ca2300?view=vs-2019. Bu durum Wire'ın fork versiyonları için de geçerlidir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| asynkron wire | Aralık belirtilmemiş | — |
| WireNuGet | v ≤ 1.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.