CVE-2024-23080
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W bibliotece Joda Time w wersji 2.12.5 odkryto potencjalny wyjątek NullPointerException w metodzie `wordBased(Locale)` klasy `PeriodFormat`. Należy jednak zaznaczyć, że podatność ta jest kwestionowana przez wiele stron trzecich, które uważają, że nie ma wystarczających dowodów na jej istnienie, a zgłoszenie mogło pochodzić z narzędzia o niewystarczającej skuteczności.
Ocena ryzyka
Jeśli podatność jest prawdziwa, może prowadzić do nieoczekiwanego zakończenia działania aplikacji (DoS) przy przetwarzaniu sformatowanych okresów czasu z określonymi ustawieniami regionalnymi. Ryzyko jest jednak niskie ze względu na spór dotyczący jej istnienia.
Rekomendacja
Zaleca się monitorowanie oficjalnych aktualizacji biblioteki Joda Time oraz rozważenie tymczasowego unikania używania metody `wordBased` z niestandardowymi ustawieniami regionalnymi, jeśli to możliwe. W razie potwierdzenia podatności, zastosuj łatkę.
Oryginalny opis (angielski, źródło NVD)
Joda Time v2.12.5 was discovered to contain a NullPointerException via the component org.joda.time.format.PeriodFormat::wordBased(Locale). NOTE: this is disputed by multiple third parties who believe there was not reasonable evidence to determine the existence of a vulnerability. The submission may have been based on a tool that is not sufficiently robust for vulnerability identification.