CVE-2022-39209
Açıklama
cmark-gfm, C dilinde yazılmış bir CommonMark ayrıştırma ve işleme kütüphanesi ile programı olan cmark'ın GitHub tarafından çatallanmış (fork) halidir. 0.29.0.gfm.6 öncesindeki sürümlerde, cmark-gfm'in autolink eklentisindeki polinomsal zaman karmaşıklığı sorunu, sınırsız kaynak tüketimine ve ardından hizmet reddine (DoS) yol açabilir. Kullanıcılar, yamalanmamış cmark-gfm üzerinde kaynak tüketimine neden olacak ancak yamalanmış cmark-gfm üzerinde doğru şekilde işlenecek olan `python3 -c 'print("![l"* 100000 + "\n")' | ./cmark-gfm -e autolink` komutunu çalıştırarak yamayı doğrulayabilirler. Bu güvenlik açığı 0.29.0.gfm.6 sürümünde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar autolink eklentisinin kullanımını devre dışı bırakmalıdır.
Nasıl düzeltilir
- github cmark-gfm0.29.0.gfm.6 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JMGP65NANDVKPDMXMKYO2ZV2H2HZJY4P/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JIUCZN3PEKUCT2JQYQTYOVIJG2KSD6G7/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/UEAAAI4OULDYQ2TA3HOXH54PC3DCBFZS/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github cmark-gfm | v < 0.29.0.gfm.6 | 0.29.0.gfm.6 |
| fedoraproject fedora | 35, 36, 37 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.