CVE-2024-23082
Niskie ryzyko· EPSS 19%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W bibliotece ThreeTen Backport w wersji 1.6.8 odkryto potencjalne przepełnienie liczby całkowitej w metodzie parse klasy DateTimeFormatter. Należy jednak zaznaczyć, że wiele stron trzecich kwestionuje istnienie tej podatności, sugerując, że raport może opierać się na niewystarczająco wiarygodnym narzędziu.
Ocena ryzyka
Jeśli podatność istnieje, może prowadzić do nieoczekiwanego zachowania aplikacji lub potencjalnego naruszenia bezpieczeństwa, jednak ze względu na spór co do jej autentyczności ryzyko jest niepewne.
Rekomendacja
Zaleca się monitorowanie oficjalnych aktualizacji biblioteki ThreeTen Backport oraz rozważenie tymczasowego ograniczenia użycia metody parse z niezweryfikowanymi danymi wejściowymi do czasu wyjaśnienia sytuacji.
Inne podatności w ThreeTen Backport
Oryginalny opis (angielski, źródło NVD)
ThreeTen Backport v1.6.8 was discovered to contain an integer overflow via the component org.threeten.bp.format.DateTimeFormatter::parse(CharSequence, ParsePosition). NOTE: this is disputed by multiple third parties who believe there was not reasonable evidence to determine the existence of a vulnerability. The submission may have been based on a tool that is not sufficiently robust for vulnerability identification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS