CVE-2023-33008
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Podatność w Apache Johnzon związana z deserializacją niezaufanych danych pozwala atakującemu na wprowadzenie dużych liczb w formacie JSON, co może prowadzić do powolnej konwersji i ryzyka odmowy usługi.
Ocena ryzyka
Organizacja może być narażona na ataki typu Denial of Service, które mogą spowodować spowolnienie lub zablokowanie usług korzystających z Apache Johnzon.
Rekomendacja
Zaleca się aktualizację do Apache Johnzon w wersji 1.2.21 lub nowszej, aby skorzystać z wprowadzonego limitu skali dla BigDecimal.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in Apache Software Foundation Apache Johnzon. A malicious attacker can craft up some JSON input that uses large numbers (numbers such as 1e20000000) that Apache Johnzon will deserialize into BigDecimal and maybe use numbers too large which may result in a slow conversion (Denial of service risk). Apache Johnzon 1.2.21 mitigates this by setting a scale limit of 1000 (by default) to the BigDecimal. This issue affects Apache Johnzon: through 1.2.20.