CVE-2024-24786

WysokieCVSS 7.5

Opublikowano: 05/03/2024(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.26%

Percentyl 68 - wyżej niż 68% wszystkich znanych CVE

Streszczenie

Funkcja protojson.Unmarshal może wejść w nieskończoną pętlę podczas deserializacji niektórych form nieprawidłowego JSON. Warunek ten może wystąpić podczas deserializacji do wiadomości zawierającej wartość google.protobuf.Any lub gdy ustawiona jest opcja UnmarshalOptions.DiscardUnknown.

Ocena ryzyka

Nieskończona pętla może prowadzić do zawieszenia aplikacji lub wyczerpania zasobów, co może skutkować odmową usługi.

Rekomendacja

Zaleca się zaktualizowanie biblioteki protobuf do wersji zawierającej poprawkę oraz unikanie używania opcji DiscardUnknown, jeśli to możliwe.

Inne podatności w Google protobuf

CVE-2026-89418Wysokie
Biblioteka google-protobuf zawiera nieograniczoną rekursję przy parsowaniu nieznanych pól grupowych protobuf. Atakujący może wysłać mały, spreparowany pakiet z głęboko zagnieżdżonymi bajtami START_GROUP do usługi Node.js wywołującej deserializeBinary(), co powoduje błąd RangeError: Maximum call stack size exceeded i awarię procesu.

Oryginalny opis (angielski, źródło NVD)

The protojson.Unmarshal function can enter an infinite loop when unmarshaling certain forms of invalid JSON. This condition can occur when unmarshaling into a message which contains a google.protobuf.Any value, or when the UnmarshalOptions.DiscardUnknown option is set.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS