Podatności Motor.NET

Motor.NET w wersjach przed 0.19.0 zawiera podatność na nieprzechwycony wyjątek w JsonNetDeserializer.Deserialize, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki lub tematu trwale zablokować usługę poprzez wysłanie strukturalnie poprawnego JSON, który nie pasuje do oczekiwanego typu handlera. JsonSerializationException nie jest przechwytywany razem z JsonReaderException i InvalidCastException, przez co TypedConsumerService.SingleMessageConsumeAsync traktuje błąd jako CriticalFailure i wywołuje StopApplication, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, co prowadzi do trwałej pętli awarii.

Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu produkować rekordy do konsumowanego tematu trwale zablokować usługę poprzez wysłanie pojedynczego spreparowanego rekordu. Ustawienie nagłówka content-type na application/cloudevents+json i pominięcie wymaganych atrybutów CloudEvent (id, source, type) wywołuje ArgumentException w KafkaMessageConsumer.SingleMessageHandlingAsync, traktowany jako krytyczny, co zatrzymuje host i powoduje ponowne przetwarzanie tego samego rekordu przy każdym restarcie, prowadząc do trwałej pętli awarii.

Motor.NET w wersjach przed 0.19.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu atakującemu mogącemu publikować do konsumowanej kolejki trwale zablokować usługę poprzez wysłanie wiadomości ze spreparowanymi nagłówkami cloudEvents. Atakujący może podać nieprawidłowy cloudEvents:motorversion, wartość nagłówka z pojedynczym cudzysłowem lub nieparsowalny atrybut typowany, taki jak cloudEvents:time, aby wywołać nieobsłużony wyjątek w ExtractCloudEvent traktowany jako krytyczny, co zatrzymuje aplikację, a niepotwierdzona wiadomość jest ponownie dostarczana po restarcie, prowadząc do trwałej pętli awarii.