CVE-2024-23077
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W JFreeChart w wersji 1.5.4 zgłoszono podatność na błąd ArrayIndexOutOfBounds w komponencie /chart/plot/CompassPlot.java. Należy jednak zaznaczyć, że wiele niezależnych stron kwestionuje istnienie tej podatności, sugerując, że zgłoszenie mogło opierać się na niewystarczająco wiarygodnym narzędziu.
Ocena ryzyka
Jeśli podatność jest prawdziwa, może prowadzić do nieoczekiwanego zakończenia działania aplikacji (DoS) przy próbie przetworzenia specjalnie spreparowanych danych. Jednak ze względu na kontrowersje wokół zgłoszenia, ryzyko jest niepewne.
Rekomendacja
Zaleca się monitorowanie oficjalnych aktualizacji JFreeChart oraz weryfikację zgłoszenia przez zaufane źródła. Do czasu wyjaśnienia sytuacji nie ma konieczności natychmiastowej aktualizacji.
Inne podatności w JFreeChart
Zobacz wszystkie- CVE-2024-22949Krytyczne
W JFreeChart v1.5.4 odkryto wyjątek NullPointerException w komponencie /chart/annotations/CategoryLineAnnotation. Należy jednak zaznaczyć, że wiele stron trzecich kwestionuje istnienie tej podatności, sugerując, że zgłoszenie mogło opierać się na niewystarczająco solidnym narzędziu do identyfikacji podatności.
- CVE-2023-52070Wysokie
W JFreeChart w wersji 1.5.4 odkryto podatność na wyjście poza zakres tablicy (ArrayIndexOutOfBounds) w metodzie 'setSeriesNeedle(int index, int type)'. Należy jednak zaznaczyć, że wiele stron trzecich kwestionuje zasadność tego zgłoszenia, sugerując, że może ono wynikać z użycia niewystarczająco solidnego narzędzia do identyfikacji podatności.
- CVE-2024-23076Wysokie
W bibliotece JFreeChart w wersji 1.5.4 zgłoszono potencjalny wyjątek NullPointerException w komponencie BubbleXYItemLabelGenerator. Należy jednak zaznaczyć, że wiele niezależnych stron podważa istnienie tej podatności, wskazując na brak wystarczających dowodów.
Oryginalny opis (angielski, źródło NVD)
JFreeChart v1.5.4 was discovered to be vulnerable to ArrayIndexOutOfBounds via the component /chart/plot/CompassPlot.java. NOTE: this is disputed by multiple third parties who believe there was not reasonable evidence to determine the existence of a vulnerability. The submission may have been based on a tool that is not sufficiently robust for vulnerability identification.