MessagePack for C# to serializator MessagePack dla C#. W wersjach przed 2.5.301 i 3.1.7 konstruktor MessagePackInputFormatter() bez parametrów używa domyślnych opcji serializera, które rozwiązują się do MessagePackSerializerOptions.Standard z MessagePackSecurity.TrustedData. Formatter jest przeznaczony dla treści żądań ASP.NET Core MVC, które zwykle przekraczają granicę zaufania HTTP, co może narazić aplikacje na ataki denial-of-service, w tym ataki hash-collision na właściwości podobne do słownika, które miały być łagodzone przez MessagePackSecurity.UntrustedData. Podatność została naprawiona w wersjach 2.5.301 i 3.1.7.
▸ Pokaż oryginał (EN)
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, the parameterless MessagePackInputFormatter() constructor uses default serializer options, which resolve to MessagePackSerializerOptions.Standard with MessagePackSecurity.TrustedData. The formatter is designed for ASP.NET Core MVC request bodies, which commonly cross an HTTP trust boundary. This insecure default can expose applications to denial-of-service attacks that MessagePackSecurity.UntrustedData is intended to mitigate, such as hash-collision attacks against dictionary-like model properties. This vulnerability is fixed in 2.5.301 and 3.1.7.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XMessagepack
APPMessagepack< 2.5.3013.0.3 – 3.1.7 (bez)
Powiązane podatności
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, A vulnerability exists in t...
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, MessagePackReader.ReadDateT...
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, MessagePackReader.TrySkip()...
MessagePack dla C# to serializer MessagePack dla C#. Przed wersjami 2.5.301 i 3.1.7, gdy MessagePack-CSharp de...
MessagePack for C# to serializer MessagePack dla C#. Przed wersją 2.5.301 i 3.1.7, ExpandoObjectFormatter.Dese...