GLSA-202301-09：protobuf-java：拒絕服務

high Nessus Plugin ID 169832

語系：

說明

遠端主機受到 GLSA-202301-09 中所述的弱點影響 (protobuf-java：拒絕服務)

- 在 protobuf-java core 和 lite 3.21.7、3.20.3、3.19.6 和 3.16.3 之前的版本中有二進位資料剖析問題，這可能會造成拒絕服務攻擊。輸入如果含有多個具有重複或未知欄位的非重複內嵌訊息執行個體，會造成物件在可變和不可變形式之間來回轉換，進而可能導致記憶體回收長時間暫停。我們建議更新至上述版本。(CVE-2022-3171)

- 在 protobuf-java core 和 lite 3.21.7、 3.20.3、3.19.6 和 3.16.3 之前的版本中有類似於 CVE-2022-3171 的剖析問題，但這涉及 textformat，而且可能會造成拒絕服務攻擊。輸入如果含有多個具有重複或未知欄位的非重複內嵌訊息執行個體，會造成物件在可變和不可變形式之間來回轉換，進而可能導致記憶體回收長時間暫停。我們建議更新至上述版本。(CVE-2022-3509)

- 在 protobuf-java core 和 lite 3.21.7、 3.20.3、3.19.6 和 3.16.3 之前的版本中有類似於 CVE-2022-3171 的剖析問題，但這涉及訊息類型的擴充功能，而且可能會造成拒絕服務攻擊。輸入如果含有多個具有重複或未知欄位的非重複內嵌訊息執行個體，會造成物件在可變和不可變形式之間來回轉換，進而可能導致記憶體回收長時間暫停。我們建議更新至上述版本。(CVE-2022-3510)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。