CVE-2018-1274
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 78 - wyżej niż 78% wszystkich znanych CVE
Streszczenie
Podatność w Spring Data Commons (wersje 1.13 do 1.13.10, 2.0 do 2.0.5 oraz starsze nieobsługiwane) wynika z nieograniczonej alokacji zasobów podczas parsowania ścieżek właściwości. Nieuwierzytelniony atakujący może wysyłać żądania do endpointów Spring Data REST lub innych korzystających z parsowania ścieżek, powodując odmowę usługi (wysokie zużycie CPU i pamięci).
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS przez zdalnego, nieuwierzytelnionego napastnika, co może doprowadzić do niedostępności aplikacji i przeciążenia infrastruktury.
Rekomendacja
Zaleca się natychmiastową aktualizację Spring Data Commons do wersji 1.13.11, 2.0.6 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do endpointów REST i zastosować mechanizmy ograniczania przepustowości.
Inne podatności w Spring Data Commons (wersje 1.13 do 1.13.10, 2.0 do 2.0.5 oraz starsze nieobsługiwane)
Oryginalny opis (angielski, źródło NVD)
Spring Data Commons, versions 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, contain a property path parser vulnerability caused by unlimited resource allocation. An unauthenticated remote malicious user (or attacker) can issue requests against Spring Data REST endpoints or endpoints using property path parsing which can cause a denial of service (CPU and memory consumption).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS