SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2025-58369

ŚrednieCVSS 5.3
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.43%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

fs2 to kompozycyjna, strumieniowa biblioteka I/O dla Scali. Wersje do 2.5.12, 3.0.0-M1 do 3.12.2 oraz 3.13.0-M1 do 3.13.0-M6 są podatne na ataki DoS przez sesje TLS używające fs2-io na JVM z pakietem fs2.io.net.tls. Podczas ustanawiania sesji TLS, jeśli jedna strona zamknie zapis, a druga czeka na więcej danych do postępu uzgadniania TLS, druga strona będzie zapętlać się na odczycie gniazda, w pełni wykorzystując CPU. CPU jest zużywany do zamknięcia połączenia, co może doprowadzić do wyłączenia serwera opartego na fs2-io. Problem naprawiono w wersjach 2.5.13, 3.12.1 i 3.13.0-M7.

Ocena ryzyka

Zdalny atakujący może spowodować wysokie zużycie CPU, prowadząc do niedostępności serwera. Wymaga to ustanowienia sesji TLS, co jest powszechne.

Rekomendacja

Zaktualizuj fs2 do wersji 2.5.13, 3.12.1 lub 3.13.0-M7, które zawierają poprawkę.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

fs2 is a compositional, streaming I/O library for Scala. Versions up to and including 2.5.12, 3.0.0-M1 through 3.12.2, and 3.13.0-M1 through 3.13.0-M6 are vulnerable to denial of service attacks though TLS sessions using fs2-io on the JVM using the fs2.io.net.tls package. When establishing a TLS session, if one side of the connection shuts down `write` while the peer side is awaiting more data to progress the TLS handshake, the peer side will spin loop on the socket read, fully utilizing a CPU. The CPU is consumed until the overall connection is closed, potentially shutting down a fs2-io powered server. This issue is fixed in versions 2.5.13, 3.12.1, and 3.13.0-M7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS