CVE-2021-4235
YAML Go package vulnerable to denial of service
概要
YAML Go package vulnerable to denial of service
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Due to unbounded alias chasing, a maliciously crafted YAML file can cause the system to consume significant system resources. If parsing user input, this may be used as a denial of service vector.
出典: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
影響パッケージ
Go
gopkg.in/yaml.v2
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2.2.3"}]}]
Go
github.com/go-yaml/yaml
[{"type":"SEMVER","events":[{"introduced":"0"},{"last_affected":"2.1.0"}]}]
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2021-4235 golang-yaml.v2 修正版: 2.2.8-1
- Ubuntu UBUNTU-CVE-2021-4235 golang-yaml.v2 修正版: 0.0+git20160301.0.a83829b-1ubuntu0.1~esm1
参照URL
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web lists.debian.org
- web pkg.go.dev