Apache Juneauに認証なしでサービス停止に陥る脆弱性
Summary
Apache Juneauには、入力データの長さの値をもとにメモリを過剰に確保してしまう脆弱性があります。認証なしで少量のデータを送るだけで、数GBのメモリ確保が起き、サービス拒否の状態になるおそれがあります。影響を受けるのは9.2.0までの版で、9.2.1に修正版が公開されているため、早めの更新をおすすめします。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Apache Juneauには、入力データの長さの値をもとにメモリを過剰に確保してしまう脆弱性があります。認証なしで少量のデータを送るだけで、数GBのメモリ確保が起き、サービス拒否の状態になるおそれがあります。影響を受けるのは9.2.0までの版で、9.2.1に修正版が公開されているため、早めの更新をおすすめします。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Apache Software Foundation | Apache Juneau |
< 9.2.1 |
9.2.1 |
Original description The description as published by the source.
Allocation of Resources Without Limits or Throttling vulnerability in Apache Juneau.
The MessagePack parser, which the REST server enables by default, sizes buffers from length values in the input. An unauthenticated client can send a few bytes that force a multi-gigabyte allocation and an OutOfMemoryError, causing denial of service. Related unbounded allocations in REST request handling (multipart uploads and request reader buffers) are fixed at the same time.
This issue affects Apache Juneau: through 9.2.0.
Users are recommended to upgrade to version 9.2.1, which fixes the issue.
Source: oss-security (Openwall) NVD GitHub Advisory