CVE-2023-43642
Açıklama
snappy-java, Google tarafından geliştirilen hızlı bir C++ sıkıştırıcı/açıcı olan snappy'nin Java portudur. SnappyInputStream'in, çok büyük bir yığın boyutuyla veri açarken Hizmet Reddi (DoS) saldırılarına karşı savunmasız olduğu tespit edilmiştir. Yığın uzunluğu üzerinde üst sınır kontrolünün eksik olması nedeniyle, geri döndürülemez kritik bir hata oluşabilir. En son yayınlanan 1.1.10.3 sürümü dahil olmak üzere tüm snappy-java sürümleri bu soruna karşı savunmasızdır. 1.1.10.4 sürümünde yer alacak olan `9f8c3cf74` commit'i ile bir düzeltme getirilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, yalnızca güvenilir kaynaklardan gelen sıkıştırılmış verileri kabul etmelidir.
Nasıl düzeltilir
- xerial snappy-java1.1.10.4 ya da sonraki bir sürüm
- org.xerial.snappy:snappy-java1.1.10.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xerial snappy-java | v < 1.1.10.4 | 1.1.10.4 |
| org.xerial.snappy:snappy-javaMaven | v < 1.1.10.4 | 1.1.10.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.