CVE-2022-26477
Açıklama
Güvenlik Ekibi, readExternal metodundaki for döngüsünün sonlandırma koşulunun kontrol edilebilir bir değişken olduğunu ve bununla oynanması durumunda CPU tükenmesine yol açabileceğini fark etmiştir. Düzeltme olarak, okuma ve yazma mantığına bir üst sınır ve sonlandırma koşulu eklenmiştir. Bu durum "düşük öncelikli ancak faydalı bir iyileştirme" olarak sınıflandırılmıştır. SystemDS dağıtık bir sistemdir ve verileri serileştirmesi/serisizleştirmesi gerekir; ancak birçok kod yolunda (örneğin Spark broadcast/shuffle sırasında veya sequence dosyalarına yazarken) bayt akışı zaten ek CRC parmak izleri ile korunmaktadır. Bununla birlikte, bu özel durumda dekoder sayısı sütun sayısının iki katı ile sınırlandırılmıştır, bu da bir saldırganın bayt akışındaki iki girişi tutarlı bir şekilde değiştirmesi gerektiği anlamına gelir. Bu kontrollerin eklenmesiyle, neredeyse sıfır ek yükle dayanıklılık kesin olarak artırılmıştır. Bu kod değişiklikleri 2.2.1 sürümünden daha yüksek versiyonlarda mevcuttur.
Nasıl düzeltilir
- org.apache.systemds:systemds2.2.2 ya da sonraki bir sürüm
- systemds2.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache systemds | v ≤ 2.2.1 | — |
| org.apache.systemds:systemdsMaven | v < 2.2.2 | 2.2.2 |
| systemdsPyPI | v < 2.2.2 | 2.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.