CVE-2021-36374
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Podczas czytania specjalnie spreparowanego archiwum ZIP lub formatów pochodnych, build Apache Ant może zostać zmuszony do alokacji dużych ilości pamięci, co prowadzi do błędu braku pamięci, nawet dla małych danych wejściowych. Może to zakłócić buildy używające Apache Ant. Dotyczy wersji przed 1.9.16 i 1.10.11.
Ocena ryzyka
Atakujący może zakłócić proces budowania oprogramowania, powodując awarię lub niedostępność środowiska CI/CD, co może opóźnić wydania i wpłynąć na dostępność usług.
Rekomendacja
Zaktualizuj Apache Ant do wersji 1.9.16, 1.10.11 lub nowszej, aby uniknąć problemu z nadmiernym zużyciem pamięci.
Inne podatności w Apache Ant
Zobacz wszystkie- CVE-2026-78254Nieznane
Zadania ftp i scp w Apache Ant mogą pobierać pliki z zdalnego serwera. Złośliwy serwer może podać względne ścieżki, które pozwalają na zapis poza dedykowanym katalogiem docelowym, umożliwiając nadpisanie plików wybranych przez atakującego z uprawnieniami użytkownika uruchamiającego Ant w wersjach przed 1.10.18.
- CVE-2021-36373Średnie
Podczas czytania specjalnie spreparowanego archiwum TAR, build Apache Ant może zostać zmuszony do alokacji dużych ilości pamięci, co prowadzi do błędu braku pamięci, nawet dla małych danych wejściowych. Może to zakłócić buildy używające Apache Ant. Dotyczy wersji przed 1.9.16 i 1.10.11.
Oryginalny opis (angielski, źródło NVD)
When reading a specially crafted ZIP archive, or a derived formats, an Apache Ant build can be made to allocate large amounts of memory that leads to an out of memory error, even for small inputs. This can be used to disrupt builds using Apache Ant. Commonly used derived formats from ZIP archives are for instance JAR files and many office files. Apache Ant prior to 1.9.16 and 1.10.11 were affected.