CVE-2024-37168
ŚrednieStreszczenie
W wersjach przed 1.10.9, 1.9.15 i 1.8.22 biblioteka @grpc/grpc-js zawiera dwie oddzielne ścieżki kodu, w których pamięć może być alokowana dla wiadomości w nadmiarze w stosunku do opcji kanału `grpc.max_receive_message_length`. Może to prowadzić do niekontrolowanego zużycia pamięci.
Ocena ryzyka
Organizacje mogą być narażone na ataki DoS (Denial of Service) z powodu nadmiernego zużycia pamięci, co może prowadzić do awarii usług lub degradacji wydajności.
Rekomendacja
Zaleca się aktualizację do wersji 1.10.9, 1.9.15 lub 1.8.22, aby zlikwidować tę podatność i zabezpieczyć aplikacje korzystające z gRPC.
Oryginalny opis (angielski, źródło NVD)
@grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to versions 1.10.9, 1.9.15, and 1.8.22, there are two separate code paths in which memory can be allocated per message in excess of the `grpc.max_receive_message_length` channel option: If an inc