Podatności Apache Qpid Proton-Dotnet

W Apache Qpid Proton-Dotnet do wersji 1.0.0 brakuje mechanizmu ograniczającego maksymalną liczbę ramek transferu w przychodzącej dostawie. Uwierzytelniony atakujący może to wykorzystać do nadmiernego zużycia zasobów i potencjalnej odmowy usługi.

W Apache Qpid Proton-Dotnet do wersji 1.0.0 uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego obsługiwania zakresów, co prowadzi do odmowy usługi.

W Apache Qpid Proton-Dotnet do wersji 1.0.0 uwierzytelniony atakujący może przekroczyć okno kontroli przepływu sesji (session flow control incoming window), co może prowadzić do odmowy usługi.

Atakujący przed uwierzytelnieniem może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-Dotnet do wersji 1.0.0 włącznie. Zalecane jest uaktualnienie do wersji 1.1.0, która naprawia problem.

Atakujący przed autoryzacją może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację pamięci, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-Dotnet do wersji 1.0.0.

Atakujący przed autoryzacją może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-Dotnet do wersji 1.0.0.