exceljs-hardened before 5.0.0 decompresses all entries from supplied xlsx archives into memory...
概要
exceljs-hardened before 5.0.0 decompresses all entries from supplied xlsx archives into memory...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
exceljs-hardened before 5.0.0 decompresses all entries from supplied xlsx archives into memory without limits on entry size, total size, or compression ratio. Attackers can upload highly compressed workbooks that expand to gigabytes in memory, exhausting available resources and causing denial of service.
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
exceljs-hardenedのバージョン5.0.0以前には、エントリサイズ、総サイズ、または圧縮率に制限を設けずに、提供されたxlsxアーカイブ内のすべてのエントリをメモリに解凍する脆弱性が存在します。攻撃者は、メモリ内でギガバイトに拡張する高圧縮ワークブックをアップロードし、リソース枯渇を引き起こしサービス拒否を発生させる可能性があります。
exceljs-hardenedにおいて、提供されたxlsxアーカイブのエントリを無制限でメモリに解凍する脆弱性です。
exceljs-hardenedのバージョン5.0.0以前
この脆弱性は、リソース枯渇を引き起こし、サービス拒否攻撃を可能にするため、高いリスクがあります。
この脆弱性を修正するには、バージョン5.0.0以降にアップデートすることが推奨されます。
アップグレードがすぐに行えない場合、入力ファイルの事前検証を行うことで一部リスクを軽減できます。
メモリ消費を監視し、異常な使用を検知することで、この問題に気づくことができます。