CVE-2022-1471
Yüksek
Açıklama
SnakeYaml'in Constructor() sınıfı, deserialization sırasında örneklenebilecek türleri kısıtlamamaktadır. Bir saldırgan tarafından sağlanan yaml içeriğinin deserialization işlemi, uzaktan kod çalıştırmaya yol açabilir. Güvenilmeyen içerikleri ayrıştırırken deserialization işlemini kısıtlamak için SnakeYaml'in SafeConstructor sınıfının kullanılması önerilir. Sürüm 2.0 ve üzerine yükseltmeniz önerilir.
ÖnemYüksek
CVSS8.3
İstismar olasılığı—
ÜrünSnakeyaml
Yayın1 Ara 2022
İlk görülme1 Ara 2022
Zayıflık türüCWE-20Girdinin yetersiz doğrulanması
Nasıl düzeltilir
Güncelleyin
- snakeyaml_project snakeyaml2.0 ya da sonraki bir sürüm
- org.yaml:snakeyaml2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| snakeyaml_project snakeyaml | v < 2.0 | 2.0 |
| org.yaml:snakeyamlMaven | v < 2.0 | 2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.